WO2020148039A1 - System zum bereitstellen eines drahtlosen netzwerks - Google Patents

System zum bereitstellen eines drahtlosen netzwerks Download PDF

Info

Publication number
WO2020148039A1
WO2020148039A1 PCT/EP2019/085154 EP2019085154W WO2020148039A1 WO 2020148039 A1 WO2020148039 A1 WO 2020148039A1 EP 2019085154 W EP2019085154 W EP 2019085154W WO 2020148039 A1 WO2020148039 A1 WO 2020148039A1
Authority
WO
WIPO (PCT)
Prior art keywords
wireless access
network
room zone
access point
access points
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/EP2019/085154
Other languages
English (en)
French (fr)
Inventor
Holger Sacher
Markus Jung
Michael Eschey
Herbert Ernst
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Osram GmbH
Original Assignee
Osram GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Osram GmbH filed Critical Osram GmbH
Priority to US17/422,209 priority Critical patent/US20220086640A1/en
Publication of WO2020148039A1 publication Critical patent/WO2020148039A1/de
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H04W12/64—Location-dependent; Proximity-dependent using geofenced areas
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions
    • H04W48/04—Access restriction performed under specific conditions based on user or terminal location or mobility data, e.g. moving direction, speed
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to a system for providing a wireless network, which comprises a plurality of wireless access points, each of which can provide access to the wireless network in a limited space in a building or construction.
  • Such wireless or cross-floor wireless networks usually go beyond the scope of ordinary home networks. If such wireless networks are operated accordingly in the so-called infrastructure mode, then central routers generally establish a connection to other networks, network segments or the Internet, with the wireless access points (AP) also meaning base station ge) of the network with the router wired, e.g. can be connected via Ethernet, or even wirelessly. In the latter case, however, the wireless access points act more as wireless bridges (point-to-point) or wireless repeaters (point-to-multipoint) than as the actual base station. In small home networks, the router itself can include the wireless access point.
  • the wireless access points each supply a room area corresponding to their range with radio frequency radiation in the frequency intervals of, for example, 2,400 to 2,483.5 GHz, from 5,150 to 5,350 or 5,470 to 5,725 GHz, or further intervals between 1 and 7 GHz or around 60 GHz, that are currently still under discussion.
  • they send out so-called beacons ("beacons” or "beacons”) at short time intervals, which contain information regarding the network name (SSID: Service set identifier, or in the infrastructure network) so-called ESSID: extended service set identifier), the supported transmission rates and the type of encryption of the data to be transmitted.
  • End devices with e.g. Internally provided or externally connected wireless adapters (wireless adapters) can log on and off in the radio network, provided that they are located in the corresponding room area of one of the wireless access points and - as far as mobile devices are concerned - they can choose between different wireless access points (roaming) if they leave the area of one access point and reach those of another access point, or if they simply receive a stronger signal.
  • the corresponding functionality can be implemented in the terminal and / or on the part of the access points communicating with one another.
  • high-performance wireless access points with a large range are conventionally placed in selected locations, each of which has end devices within a large area To be able to supply the room area with a radio network.
  • the permissible maximum values of 100 mW isotropic radiation power (EIRP) for the interval at 2.4 GFIz or 200 mW, 500 mW or 1,000 mW EIRP for the intervals at 5 GFIz is usually exhausted.
  • the area spanned by the range of the respective access point often extends significantly beyond the boundaries of the building or out of the building - for example in rooms in the same building.
  • a terminal located in this outdoor area can, for example, gain unauthorized access to the radio network by so-called "sniffing" by listening to and logging the radio connection between the access point and the (authorized) terminal over a period of time, and this evaluates the or to seize the network key (for example so-called known plaintext attacks with collecting key pairs).
  • a mere evaluation of the beacons sent repeatedly from the wireless access point can also be sufficient if the logged period is sufficiently long and the corresponding computer capacity is sufficient.
  • an external wireless access point can also gain access to the network by pretending, based on the relevant information, to be a regular and authorized access point of the radio network, so that terminal devices in the network incorrectly log in to it and transfer data , which is known as "snarfing" (eg so-called Janus or man-in-the-middle attacks).
  • Wi-Fi protected access conforming to IEEE 802.11 i
  • WEP wireless equivalent privacy
  • Another component of the security architecture is also regularly an access control list, in which device-specific information is included, which contains, for example, a hardware identifier or address. Only the end devices that log on with this hardware address stored in the access control list will enables network access from the wireless access point.
  • An example is the MAC address (media access control), which is uniquely assigned to each device that has a network adapter (Microsoft: "physical address”, Apple: “Airport ID”, "Ethernet ID” or "Wi-Fi address” ). Appropriate measures could be used to exclude external device addresses that are not included in the access control list, known as MAC filtering.
  • each MAC address of a respective network node can be changed easily, since MAC addresses are not transmitted from the network adapter of the relevant end device to the access point, which is known as "spoofing". Rather, either the respective operating system or a specially set up network manager read this address from the adapter and transmit it to the access point. The read address can be changed using suitable software to simulate another device. It should be noted that in general communication at the level of the data link layer (OSI layer 2) between the terminal and the wireless access point, such basic information (encryption type, transmission speed, MAC address etc.) is regularly transmitted unencrypted, so that spoofing does not is particularly difficult. As a result, the use of MAC filters alone offers only limited protection against unauthorized third-party network access.
  • OSI layer 2 data link layer 2
  • the object is achieved by a system for providing a wireless network with the features of claim 1 and by a corresponding method according to claim 14.
  • Advantageous further developments of the system according to the invention are the subject of the dependent claims.
  • the solution relates to a system for providing a wireless network, which comprises a plurality of wireless access points, each of which supplies a limited area in a building or a building or the terminals (clients) located in this area with access to the wireless network .
  • the wireless network can be an infrastructure network with a wired (Ethernet, KNX, DALI, etc.) router connected to the individual wireless access points (e.g. also a distribution system, DS), or an ad hoc network and without any further connection to their networks.
  • the network is not limited to certain technologies, for example it can be a Wi-Fi network compliant with the IEEE 802.11 family, or for example a Zigbee network (IEEE 802.15.4).
  • a building includes e.g. several rooms and / or floors.
  • the network can be limited to parts of buildings, e.g. are assigned to a company operating the network.
  • a structural system can be a company or university or research campus, or a trade fair with several buildings / halls and / or an outdoor area with pavilions or the like, but also an airport or train station. It is characteristic that zones with increased requirements for network security can directly adjoin public zones or those with lower requirements.
  • At least one room zone controller is provided, which is connected to at least some of the wireless access points and is designed to receive device information from a terminal logging on to the network and / or external wireless access point via the wireless access points connected to it and on the basis of an assignment to one or more of the connected wireless access points to determine the spatial position of the relevant terminal and / or external wireless access point in or near the building or structure.
  • the term room zone controller is used as an identifier for a control device connected to the wireless access points and implies that it is specifically designed for a room zone corresponding to the subset of the access points.
  • the subset of the access points connected to the room zone controller therefore preferably covers a connection of the three-dimensional space with their radiation (“room zone”). This room zone can also extend beyond the physical boundary of the building or part of the building (floor, ceiling, outer wall, window) etc. and is determined by the range of the (outer) wireless access points.
  • the room zone controller is designed to determine the spatial position of a terminal and / or an external wireless access point in or near the building or the structural system on the basis of an assignment to one or more of the connected wireless access points.
  • the position can be determined in different ways. In the simplest case, the flardware address of the access point is compared with a position reference list (e.g. stored in a memory) to which the terminal etc. logs on. The position can be read from this position reference list and is assigned to the terminal etc.
  • several of the access points that are connected to the room zone controller can determine a signal strength with which they receive the terminal, whereupon the room zone controller can use the position reference list for the wireless access points to calculate an exact spatial position by means of appropriate software algorithms.
  • a position determination based on a measurement of the signal propagation time from the terminal to individual wireless access points (triangulation) or a measurement of the time difference of the signal reception is also possible.
  • the position can only be a mere indication of the room zone as a whole, ie the event that the terminal has registered with one of the wireless access points connected to the room zone controller.
  • This aspect is relevant if several room zone controllers are provided and the entire room area is subdivided into room zones that correspond to positions and information about whether the end device is in a zone permitted or not permitted for this.
  • the room zone controller is connected to the wireless access points via a data line, e.g. Ethernet, DALI, KNX, etc., or wireless again via WLAN or Zigbee, etc.
  • the room zone controller can be provided as an electronic component in a router, or decentrally, e.g. in connection with one of the access points, or a wireless bridge or a wireless repeater. It can also be mapped on a pure software level and, as a computer program, computer-supported in a processor, e.g. be feasible from a central or decentralized server.
  • a central security controller is provided which is connected to the room zone controller and provides an access control list (ACL), the access control list defining a network access restriction depending on device information and spatial positions.
  • the network access restriction can include a simple access permit or rejection / rejection, or it can offer a tiered system with restricted access, for example by providing access to a "dummy" radio network that only provides information that is useless for the terminal, such as wise advertising of the company operating the radio network.
  • MAC filtering can be used to identify an end device (based on the determined position) that is moving or located within the area to be protected with an unauthorized device address and to prevent network access.
  • the room zone controller is designed to compare the received device information and the determined spatial position with the access control list in order to determine a corresponding network access restriction for the subscribing device and / or the external wireless access point, and, depending on the result, the subscribing device and / or prevent the external wireless access point from accessing the network.
  • the at least one room zone controller and the central security controller can be connected to one another via a wired or wireless communication, e.g. Ethernet, DALI, KNX, etc., or wireless again via WLAN or Zigbee, etc.
  • the central security controller can be provided as an electronic component in a router, or decentrally, e.g. in connection with one of the access points, or a wireless bridge or a wireless repeater. Like that, it can also be mapped on a pure software level, and as a computer program supported by a computer in a processor, e.g. a central or decentralized server.
  • the central security controller and the room zone controller can also be arranged in the same device or in the same electronic component or can be implemented as a program.
  • the wireless access points of the multiplicity are in each case one luminaire in the building or the structural system assigned and each have a common power supply with this. It is advantageous to use the generally dense network of luminaires that are often found in offices or production halls etc.
  • modern lighting systems offer central controls and adapted bus systems (such as DALI or KNX, or the wireless Zigbee) ) to control the individual lights of the lighting system. These bus systems are usually narrow-band because there are no high demands on the transmission rate, because often only values for the setting parameters for the lights are transmitted and / or sensor values are called up at intervals.
  • the room zone controller and / or the central security server can be connected via such bus systems, i.e. the room zone controller (s) with the wireless access points in the lights and the room zone controller with the central security controller.
  • the corresponding bus system of the lighting system is also completely sufficient for this requirement (e.g., DALI, KNX or Zigbee), since there are only occasional requests from registering devices and corresponding security checks when comparing with the access control list .
  • power can be supplied via this bus system or via Ethernet (PoE, Power over Ethernet).
  • PoE Power over Ethernet
  • the large number of wireless access points are arranged in a coherent, close-meshed, grid-like network, so that in the case of a terminal logging on to the network, its position and movement in the building are based on a time-changing assignment to the wireless access points of the grid-like network or the structure can be traced seamlessly.
  • a close-meshed and, above all, grid-like network has the advantage that the resolution of the position determination is significantly increased.
  • position reference lists of the access points can be easily created in a grid (such as, for example, in the case of large area lighting), in particular the individual positions of the access points can be easily detected during installation.
  • the isotropic RF radiation power EIRP of the wireless access points involved in the plurality and in particular the partial quantities for the spatial zone is, by way of example, 50 mW or at 2.4 GHz and 100 mW or less at 5 GHz.
  • the room zone controller is only connected to those wireless access points which are located in a room zone on an outer edge of the coherent, close-meshed, grid-like network.
  • Attacking end devices or external access points primarily log on to wireless access points in the protected room zone, the spatial position of these end devices etc. being determined by the corresponding room zone controller.
  • the outer space zone now allows specific measures to be taken with regard to the attackers, for example, to set up a dummy network that provides useless information for the attackers, or with means to be described below, makes access to the network of the inner space area difficult or difficult makes impossible.
  • a first and at least a second room zone are defined, which correspond to different sections of the building, part of the building or the structural system and which each assign different, spatially coherently arranged subsets of the wireless access points in the building or the structural system are.
  • a corresponding room zone controller is provided for each room zone.
  • the central one The security controller is connected to all room zone controllers and provides them with the access control list. End devices (clients) can be excluded by determining the position in, for example, one of the zones prohibited for access. If a user moves from the public space zone ("free zone”) to a zone that is prohibited for access, the following could happen, for example:
  • MAC address its end device address
  • his registration in the network or a session can be separated from the wireless access point.
  • an interaction between the spatial zones i.e. Communication between the respective room zone controllers (apart from the use of a central whitelist / blacklist) is basically applicable (i.e. a detected event in one room zone and countermeasures taken in the other).
  • the room zone controller (s) are designed to prevent network access by causing at least one of the wireless access points assigned to it, repeated de-authentication frames with a specific hardware address of the terminal device and determined from the device information received / or send external wireless access point.
  • this method also called jamming
  • the attacking terminal or the external access point is particularly effective and is permanently prevented from accessing the network.
  • this aspect is not expected to be compatible with those wireless networks that are compliant with IEEE 802.11w.
  • the room zone controller (s) are designed to prevent network access by determining a specific hardware address of the terminal device from the received device information and comparing it with a list of hardware addresses that are in the access control list are either specified as released or alternatively as blocked.
  • MAC filtering in combination with position determination is an effective means of detecting attackers.
  • the room zone controller are designed to switch the connected wireless access points to a monitor mode in order to operate them as a WLAN sniffer, to track down the external wireless access points and to determine their spatial position.
  • a WLAN sniffer the network access points in this room zone do not transmit any data.
  • the system comprises a notification device which is connected to the security controller and / or the room zone controller and, in the event of unauthorized network access resulting from the comparison, outputs a warning message by the terminal and / or the external access point, which includes the time of the unauthorized network access, the hardware address and the position of the end device and / or the external access point.
  • the room zone controller is designed to individually set a service with which the wireless access points transmit data packets for each wireless access point, and if the room zone controller determines as a result of the comparison with the access control list that the registering terminal or the external wireless access point is to be prevented from accessing the network, the room zone controller reduces or completely switches off the power of at least the wireless access point which corresponds to the detected position of the terminal or the external wireless access point. This means that the attacking end device, etc., is no longer able to receive data from the network exactly where it is.
  • the sniffing Function can be maintained to determine a position or create a motion profile.
  • the power reduction or switch-off continues to move with the attacking end device and is therefore advantageously limited locally - the attacker no longer sees a network.
  • this aspect can also be referred to as "swarming".
  • the room zone controller is designed to additionally individually reduce the power of those wireless access points that are spatially adjacent in the network to the wireless access point that corresponds to the detected position of the terminal or the external wireless access point.
  • the subset of the wireless access points will continue to be operated at least in monitor mode even in the event of a power reduction or shutdown by the room zone controller.
  • the room zone controller tracks the terminal that is logged on or logging on and / or the external wireless access point on the basis of a time-changing assignment to the wireless access points of the network with regard to its position and movement through the first space zone, and updates the selection des- or those wireless access points, the performance of which is reduced for data transmission, based on the tracked position.
  • the room zone controller is designed to individually set a power with which the wireless access points of the subset assigned to it transmit the data packets for each wireless access point, the space zone controller setting the wireless access points operates in normal operation with reduced or switched off power for the transmission of data packets. If the room zone controller determines the spatial position of a terminal and / or an external wireless access point and the comparison of the device information with the access control list shows that the terminal notifying itself cannot be prevented from accessing the network, the room zone controller increases the performance of at least that wireless access point and preferably also from its spatially adjacent wireless access points, which corresponds to the spatial position of the terminal and / or an external wireless access point.
  • This aspect corresponds to a reversal of the previous inventive aspect of "swarming”: here the entire network is operated with reduced radiation power and only selected wireless access points are increased in terms of their performance, in the area of which there are authorized terminals.
  • network security is increased in that network access for attackers as a whole is hampered by the network, which is always only weakly or not at all visible to them.
  • a method for providing a wireless network includes the steps:
  • Providing a room zone controller which is connected to at least some of the wireless access points and designed to receive device information from a terminal logging on to the network and / or external wireless access point via the wireless access points connected to it and based on an assignment to one or more determine the spatial position of the terminal and / or external wireless access point in or near the building or structure of the connected wireless access points, and
  • the access aisle control list defines a network access restriction depending on device information and spatial positions
  • the room zone controller is designed to compare the received device information and the determined spatial position with the access control list in order to determine a corresponding network access restriction for the subscribing terminal and / or the external wireless access point, and depending on the result, the subscriber To prevent the terminal device and / or the external wireless access point from accessing the network.
  • FIG. 1 shows a schematic representation of a plan view of a floor plan of a floor of a building with an arrangement of lights and a wireless access points in the center of the arrangement in a system according to the prior art
  • FIG. 2 shows a schematic representation of a plan view of a floor plan of a floor of a building with an arrangement of lights and these in each case to assigned wireless access points in spatial zones of a system for setting up a wireless network according to a first embodiment of the invention
  • FIG. 3 shows a block diagram with an overview of the system according to the first exemplary embodiment
  • FIG. 5 shows a flow diagram to explain the functioning of the system from FIG.
  • FIG. 6 shows a schematic diagram for explaining the jamming used in the first and second exemplary embodiments
  • Fig. 7 is a schematic representation of a plan view of a floor plan of a floor of a building with an arrangement of lights and these each assigned to wireless access points in room zones of a system for building a wireless network according to a second embodiment of the invention
  • FIG. 1 a conventional system for building a radio network is outlined in FIG. 1.
  • the schematic representation shows a plan view of the floor plan of a floor of a building or part of a building 1, which is delimited by external walls 2.
  • ceiling lighting is provided, which consists of a matrix or a grid of lights 4, which consequently e.g. are arranged in rows and columns with suitable distances from one another in order to achieve the most homogeneous possible illumination of the room 2a shown on the floor of the building or part 1 of the building.
  • Each lamp 4 can be assigned directly to one or more work stations located below (not shown). For example, act as an open-plan office.
  • a wireless or radio network can be built in the building or part 1 of the building by one wireless access point 9 (AP) per floor. It is also possible that only one access point 9 is provided at all.
  • the access point 9 can be connected to a router, so that access to a network on the Internet can be established by means of a bridge and a switch (not shown). Switch, bridge, router and access point 9 can be set up in one and the same device.
  • the power of the radiation emitted in room 2a is designed in such a way that those end devices (clients) that are located, for example, in the corners of room 2a, e.g. under the lamp 4 on the top left in FIG. 1, receive a sufficient radiation intensity in order to be able to establish a stable connection with the wireless access point 9.
  • FIG. 2 A first exemplary embodiment of a system for setting up a wireless network, here an IEEE 802.1 1-compliant WLAN or Wi-Fi network, which can remedy this disadvantage, is shown in FIG. 2.
  • the conditions of the building or part of building 1 with outer walls 2 and room 2a therein are identical to the comparative example of FIG. 1.
  • Each lamp 4 in room 2a is assigned a wireless access point 10 or 10 '.
  • the lights are controlled centrally by a control device, for example, by means of a communication system known from building automation.
  • the radiation power for the plurality of wireless access points 10, 10 'can be in this Embodiment are designed to be significantly lower, for example, well below the maximum permissible radiation power, for example at 50 mW or less for 2.4 GHz and / or 100 mW or less for 5 Ghz frequency intervals.
  • the ranges of light and RF radiation can be matched to one another.
  • the assignment of the wireless access points 10, 10 'to the lights 4 creates a spatially grid-like and close-meshed network arrangement 12 with a high position resolution.
  • the hatched area 8b in a region 8 outside the interior 6 of the building or part of the building 1, in which network access is still possible, is significantly reduced compared to the situation in FIG. 1, so that the security of the radio network is also improved.
  • the wireless access points 10 ′ which are located spatially on the edge of the network arrangement 12, form a first room zone 6a, while those that are not on the edge form a second room zone 6b.
  • the room zones 6a, 6b denote that room which is covered by the respective wireless access points 10, 10 ', which are logically assigned to the relevant room zone 6a, 6b, by radiation and reception for network access.
  • the spatial zones 6a, 6b are preferably each for contiguous spatial areas.
  • the wireless access points 10 'of the first room zone 6a are connected to a first room zone controller 14 via a data line 16, as can be seen from FIG. 4, which shows the structure of the system 20.
  • the data line 16 can be wired to Ethernet, or a DALI bus (DALI, in accordance with the IEC 62386 family of standards, DALI stands for “digitally addressable interface for lighting”), KNX bus, or non-wired to ZigBee or WLAN act yourself etc.
  • the wireless access points 10 of the second room zone 6b are connected to a second room zone controller 18 (area controller) via a corresponding data line 16.
  • the first room zone controller 14 is designed to control one or more of the wireless access points 10 ′ connected to it in such a way that one or more of the defense measures described below against potential attackers come into effect, particularly affecting end devices located in the outside area 8, if they want to gain access to the internal network via one of the wireless access points 10 '(for example by network registration).
  • a first measure is to identify the end device in question and, if authorization is lacking, to reject it.
  • specific device information such as the MAC address (Media Access Control address), which is unique per se, must be determined as the hardware address of the relevant end device, and this is later compared with an access control list.
  • the MAC address comprises a total of 48 bits or 6 bytes, which are often in hexadecimal notation and are written byte separated by colons.
  • the first room zone controller 14 receives this data from the corresponding wireless access point 10 ′ when the terminal is contacted / registered via the data line 16.
  • the 4 also shows a security controller 24 (security controller) connected to the first room zone controller 14 and also to the second room zone controller 18 via a data line 22.
  • security controller security controller
  • the access control list includes a so-called “whitelist” with all end devices or their MAC addresses, to which access to the network is to be granted, and / or a so-called “blacklist” with all such end devices or their MAC addresses, to whom access to Network is to be expressly refused.
  • Such access control lists can be stored in a table in a file or in a database. As shown in Fig.
  • the security controller 24 is also connected via a data line 26 to an administration interface 28, for example a web interface or a terminal or computer with secure shell (SSH) access to the corresponding configuration file in order to Configure and maintain the access control list. Furthermore, the security controller 24 is also connected to an external notification device 30, which issues warning messages when attacks on unauthorized end devices etc. are detected, for example to the user, user or network operator.
  • an administration interface 28 for example a web interface or a terminal or computer with secure shell (SSH) access to the corresponding configuration file in order to Configure and maintain the access control list.
  • SSH secure shell
  • the first room zone controller 14 compares the received MAC address with the list of valid MAC addresses (whitelist) or invalid MAC addresses (blacklist) in the access control list. This can take the form of an inquiry to the security controller 24, in which the first room zone controller 14 sends the MAC address and he receives feedback from the security controller 24 or the database or table that forms it or is administered by it whether there is a hit or not, or by loading the complete access control list currently or regularly and comparing them individually.
  • the first room zone controller 14 determines that an injury has occurred, it prevents access to the relevant terminal by rejecting it.
  • a further or alternative measure consists in causing at least one of the wireless access points assigned to the room zone controller 14 to repeatedly send out authentication frames with the MAC address of the terminal device determined from the received device information. This is known as jamming. This repeatedly causes the end device to automatically terminate network access. Therefore, there is never effective permanent network access.
  • FIG. 6 The situation is shown in a modified exemplary embodiment in FIG. 6.
  • one of the wireless access points 10 'in the space zone 6a repeatedly sends authentication frames to the terminal device 32 (shown here purely schematically as a smartphone). But these are such that the Terminal 32 logs off from another wireless access point 10, specifically in the inner space zone 6b, or repeatedly terminates its connection to this.
  • the room zone controller 14 is designed to assign a position to the registering terminal or to determine it.
  • the position can be the space zone 6a itself, or the position of the wireless access point 10 'to which the terminal is trying to log on.
  • an exact position can be determined by detecting the power of the received signal for a plurality of wireless access points and comparing them with one another with respect to the position of the wireless access points 10 ′ themselves. In Fig. 2, this all leads to a localization in the room zone 6a near the outer wall 2 and possibly to a distinction as to whether inside 6 of room 2a or outside 8.
  • This additional information allows the first room zone controller 14 to make an evaluation based on the registration of the terminal 32 to perform.
  • the access control list also contains information as to whether the terminal assigned to the MAC address is authorized to be located at this position (i.e. in this spatial zone, or at this wireless access point, or at this exact location).
  • the first room zone controller 14 compares the position that is preferably stored in the access control list for this MAC address (i.e. room zone, area of the wireless access point, or more precisely location) with the one that is actually assigned, and, as a result, takes one of the measures mentioned.
  • this MAC address i.e. room zone, area of the wireless access point, or more precisely location
  • Fig. 5 shows a flow diagram of an overview of the procedure:
  • a (for example, unauthorized) terminal 32 logs on to the wireless network, or alternatively, in step 104, an external wireless access point logs on is not part of the radio network, as terminal 32 (for example man-in-the-middle attack).
  • step 106 the wireless access point 10 ′ receives the device information and forwards it to the first room zone controller 14.
  • step 108 the first room zone controller 14 receives the device information and compares it with a distributed access control list (ACL), which it also received.
  • ACL distributed access control list
  • the access control list is configured in advance in a step 110 via a web interface (administration interface 28) and a whitelist is created with the terminals 32 authorized for a network access, the whitelist being related to room zones, ie network access restrictions with regard to positi ons of the end devices contains.
  • this access control list is stored and stored in a table or database in the central security controller 24.
  • this access control list is distributed (transmitted) to the room zone controller 14, 18, including the first room zone controller 14.
  • the first room zone controller 14 calculates the position of the terminal 32 as described above, based on the transmitted information from the connected wireless access point (s) 10 ', and in step 118 the first room zone controller 14 compares the determined, determined or calculated position the position stored in (or derived from) the access control list for network access or rejection for the MAC address. In the event that the comparison leads to a rejection, the central security controller 24 is prompted in step 120 to issue a warning in the notification device 30. Furthermore, in this specific exemplary embodiment, in step 122 the wireless access point 10 'is caused to transmit a de-authentication frame, so that the terminal logs off from another wireless access point 10, for example (ie connection terminated).
  • the wireless access points 10 'of the first embodiment can also be operated with particular advantage in monitor mode, i.e. they are operated as sniffers themselves.
  • the grid-like, close-meshed network 12 of wireless access points is further refined by, for example, each lamp 4 four wireless access points, each with differently aligned antennas.
  • the first room zone 6a are assigned only the wireless access points 40 'facing the outer area 8 at the edge of the network 12, while the wireless access points 40 facing inwards or other, adjacent access points even in lights 4 near the outer wall 2 of the second inner room zone 6b are assigned. This makes the space zone 6a smaller, so that if its wireless access points 40 'e.g. be operated in monitor mode, more space is available for the actual network.
  • a second exemplary embodiment is described with reference to FIG.
  • it is no longer only two room zones, but rather three room zones: a public room zone 6c, a room zone 6d with restricted network access and a room zone 6e without network access. It is e.g. around a customer area, a hallway or intermediate wing and a security room in building 1 in this order.
  • Fig. 7 for the sake of clarity, only the lights 4, no longer the wireless access points are shown. The assignment of wireless access points to lights is here as in Fig. 2 or 3.
  • an access control list ACL is configured in which a Room zone controller (not shown) for room zone 6c, for example, neither maintains a blacklist nor a whitelist. Position information implicitly affects the entire room zone for all possible MAC addresses (the entire room zone allows all positions in the room zone).
  • the more safety-relevant room zone 6d e.g. a whitelist.
  • the corresponding position information implicitly affects the entire room zone for all MAC addresses of the whitelist.
  • the position i.e. the entire room zone with all included wireless access points is invalid and leads to a warning message.
  • swarming methods as described above can also be used with advantage.
  • a power with which the wireless access points transmit data packets is set individually for each wireless access point. If, as a result of the comparison with the access control list, the room zone controller determines that the logging-on terminal device 32 is to be prevented from accessing the network, the corresponding room zone controller only locally reduces the performance of those wireless access points or those which correspond to the detected position of the terminal device or the external wireless access point correspond. With sniffing, position determination can also be maintained in order to create a movement profile. The power reduction or switch-off continues to move with the unauthorized end device and is therefore advantageously limited locally - the attacker no longer sees a network.
  • this aspect can also be referred to as "swarming".
  • the movement of a terminal device through the network of access points and, if necessary, through the spatial zones can also be recorded (tracking).
  • measures can even be taken. If a terminal moves, for example, on the outer edge of a room zone from a wireless access point to a wireless access point, the profile can be used to set a probability that the terminal may be moving on a wall outside the actual room area and is therefore not authorized. Appropriate measures can then also be taken here.
  • exemplary embodiments described above represent special embodiments and do not limit the scope of protection defined by the appended claims.
  • individual features of the individual exemplary embodiments can also be combined into other exemplary embodiments.
  • countermeasures such as MAC filtering, jamming (sending of de-authentication signals), swarming, can also be combined or only occasionally - depending on the seriousness or type of attack.
  • log on can be understood by the terminal as a registration process with a definition of the transmission parameters between the terminal and the access point.
  • “log on” here only means the mere transmission of data packets by the terminal, which in response to Beacons occur through the access point, ie simply coming into contact.
  • “Logging off” also includes simply ending the connection.
  • the space zone controllers 14, 18 and the security controller 24 have been described as being connected via a data line 22, which could imply a physical nature as separate electronic components.
  • the controllers can also be obtained only as separate computer-implemented programs that run on separate but also on the same computer, server or local node.
  • REFERENCE SIGN LIST , 1 'building, part of building, structural system

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Ein System (20) zum Bereitstellen eines drahtlosen Netzwerks umfasst eine Vielzahl von drahtlosen Zugangspunkten (10, 10'), die jeweils einen begrenzten Raumbereich in einem Gebäude (1, 1') oder einer baulichen Anlage mit einem Zugang zu dem drahtlosen Netzwerk versorgen. Ferner ist wenigstens ein Raumzonencontroller (14, 18) vorgesehen, der mit zumindest einem Teil der drahtlosen Zugangspunkten verbunden und ausgelegt ist, eine Geräteinformation eines sich im Netzwerk anmeldenden Endgeräts (32) und/oder externen drahtlosen Zugangspunkts über die mit ihm verbundenen drahtlosen Zugangspunkte zu empfangen und anhand einer Zuordnung zu einem oder mehreren der verbundenen drahtlosen Zugangspunkte die räumliche Position des betreffenden Endgeräts (32) und/oder externen drahtlosen Zugangspunkts in oder nahe dem Gebäude (1) oder der baulichen Anlage zu bestimmen. Außerdem ist ein zentraler Sicherheitscontroller (24) vorgesehen, der mit dem Raumzonencontroller (14, 18) verbunden ist und eine Zugangskontrollliste (ACL) bereitstellt, wobei die Zugangskontrollliste eine Netzzugangsbeschränkung abhängig von Geräteinformationen und räumlichen Positionen festlegt. Der Raumzonencontroller (14, 18) ist ausgelegt, die empfangene Geräteinformation und die bestimmte räumliche Position mit der Zugangskontrollliste (ACL) zu vergleichen, um eine entsprechende Netzwerkszugangsbeschränkung für das sich anmeldende Endgerät (32) und/oder den externen drahtlosen Zugangspunkt zu ermitteln, und abhängig von dem Ergebnis das sich anmeldende Endgerät und/oder den externen drahtlosen Zugangspunkt am Netzwerkzugang zu hindern.

Description

SYSTEM ZUM BEREITSTELLEN EINES DRAHTLOSEN NETZWERKS
BESCHREIBUNG
Technisches Gebiet
Die vorliegende Erfindung betrifft ein System zum Bereitstellen eines drahtlosen Netzwerks, das eine Vielzahl von drahtlosen Zugangspunkten umfasst, die jeweils einen begrenzten Raumbereich in einem Gebäude oder einer baulichen Anlage mit einem Zugang zu dem drahtlosen Netzwerk versorgen können.
Stand der Technik
Solche raum- oder etagenübergreifende drahtlosen Netzwerke (WLAN, wireless local area network) gehen üblicherweise über den Umfang gewöhnlicher Heimnetzwerke hinaus. Werden solche drahtlosen Netzwerke entsprechend im sogenannten Infra strukturmodus betrieben, dann stellen in der Regel zentrale Router eine Anbindung an weitere Netzwerke, Netzwerksegmente oder das Internet her, wobei die drahtlo sen Zugangspunkte (engl. : wireless access points (AP), dt. auch Basisstation ge nannt) des Netzwerks mit dem Router kabelgebunden, z.B. über Ethernet, oder selbst auch drahtlos verbunden sein können. Im letzteren Fall fungieren die drahtlo sen Zugangspunkte allerdings eher als Wireless Bridges (point-to-point) oder Wirel ess Repeater (point-to-multipoint), denn als eigentliche Basisstation. In kleinen Heimnetzwerken kann der Router selbst den drahtlosen Zugangspunkt beinhalten.
Die drahtlosen Zugangspunkte versorgen jeweils einen ihrer Reichweite entspre chenden Raumbereich mit einer Radiofrequenzstrahlung in den Frequenzintervallen von z.B. 2.400 bis 2.483,5 GHz, von 5.150 bis 5.350 bzw. 5.470 bis 5.725 GHz, oder weiteren Intervallen zwischen 1 und 7 GHz oder um 60 GHz, die aktuell noch in der Diskussion sind. Sie senden mit dieser RF-Strahlung in kurzen zeitlichen Intervallen sogenannte Beacons ("Leuchtfeuer" oder "-baken") aus, die Informationen bezüglich des Netzwerknamens (SSID: Service set identifier, bzw. im Infrastrukturnetzwerk die sogenannte ESSID: extended Service set identifier), der unterstützten Übertragungs raten sowie des Typs der Verschlüsselung der zu übertragenden Daten beinhalten.
Um ein Gebäude mit z.B. mehreren Räumen und/oder Etagen oder auch eine bauli che Anlage wie etwa einen Firmen- oder Universitäts- oder Forschungscampus oder eine Messe mit mehreren Gebäuden/Flallen und/oder einen Außenbereich mit Pavil lons oder ähnlichem wie bei einem Flughafen oder Bahnhof mit einem den entspre chenden Raumbereich abdeckenden Drahtlos-Netzwerk zu versorgen kann dieses in einem Extended Service Set Modus betrieben werden, bei dem - wie eingangs be schrieben - die einzelnen drahtlosen Zugangspunkte z.B. über ein Ethernet mitei nander verbunden sind und ein gemeinsames Funknetzwerk mit gemeinsamen Netzwerknamen (ESSID) aufspannen. Dadurch können Netzwerke mit großer Reichweite und befriedigender räumlicher Abdeckung erhalten werden.
Endgeräte (clients) mit z.B. intern vorgesehenem oder extern angeschlossenem, drahtlosen Adapter (wireless adapter) können sich im Funknetzwerk an- und abmel den, soweit sie sich in dem entsprechenden Raumbereich eines der drahtlosen Zu gangspunkte befinden, und - soweit es sich um mobile Endgeräte handelt - sie kön nen zwischen verschiedenen drahtlosen Zugangspunkten übergeben werden (Ro- aming), wenn sie den Raumbereich des einen Zugangspunkts verlassen und denje nigen eines anderen Zugangspunkts erreichen, oder von diesem einfach ein stärke res Signal erhalten. Die entsprechende Funktionalität kann im Endgerät und/oder auf Seiten der miteinander kommunizierenden Zugangspunkte realisiert sein.
Um eine optimale Abdeckung von Gebäuden oder baulichen Anlagen zu erhalten und gleichzeitig Kosten und Aufwand für die Verkabelung und die Anzahl der Geräte zu sparen, werden herkömmlich darin an ausgewählten Standorten leistungsstarke drahtlose Zugangspunkte mit großer Reichweite platziert, die jeweils für sich Endge räte innerhalb eines großen Raumbereichs mit einem Funknetzwerk versorgen zu können. Dabei werden die zulässigen Maximalwerte von 100 mW isotrope Strah lungsleistung (EIRP) für das Intervall bei 2,4 GFIz bzw. 200 mW, 500 mW oder 1 .000 mW EIRP für die Intervalle bei 5 GFIz (je nach Intervall und rechtlicher Lage im be treffenden Staat in Europa, Amerika oder Asien etc.) üblicherweise ausgeschöpft. Gerade aufgrund der großen Leistungsstarke des ausgesandten Signals, die bei der herkömmlichen Grobmaschigkeit eines Funknetzwerks erforderlich ist, um auch ab gelegene Nischen oder Raumbereiche mit abdecken zu können, dehnt sich oftmals der durch die Reichweite des jeweiligen Zugangspunkts überspannte Raumbereich deutlich über die Grenzen des Gebäudes oder der baulichen Anlage hinaus aus - z.B. in Räumen eines im gleichen Gebäude . Ein sich in diesem Außenbereich auf haltendes Endgerät kann sich dabei z.B. durch sogenanntes "Sniffen" unerlaubt Zu gang zum Funknetzwerk verschaffen, indem es über einen Zeitraum die Funkverbin dung zwischen Zugangspunkt und (autorisiertem) Endgerät abhört und protokolliert, und dies auswertet um sich des oder der Netzwerkschlüssel zu bemächtigen (zum Beispiel sog. Known-Plaintext-Angriffe mit Sammeln von Schlüsselpaaren). Auch kann eine bloße Auswertung der nur vom drahtlosen Zugangspunkt wiederholt aus gesandten Beacons ausreichen, wenn der protokollierte Zeitraum hinreichend groß und die entsprechende Rechnerkapazität ist.
Darüber hinaus bzw. darauf aufbauend kann sich auch ein externer drahtloser Zu gangspunkt Zugang zum Netzwerk verschaffen, indem er anhand entsprechender Informationen vorgibt, ein regulärer und autorisierter Zugangspunkt des Funknetz werks zu sein, so dass sich Endgeräte im Netzwerk fälschlicherweise bei diesem anmelden und Daten übertragen, welches mit dem sogenannten "Snarfing" bezeich net wird (z.B. sog. Janus- oder Man-in-the-middle-Angriffe).
Zwar stehen mit dem Nachfolger WPA2 (Wi-Fi protected access, konform mit IEEE 802,11 i) des heutzutage als nicht mehr als zureichend geltenden, IEEE 802.11 kon formen Verschlüsselungsstandards WEP (wired equivalent privacy) regelmäßig si chere Verschlüsselungstechniken zur Verfügung. Schwachstellen der Komponenten und Missbrauch sind jedoch nicht völlig auszuschließen.
Ein weiterer Baustein der Sicherheitsarchitektur ist ebenfalls regelmäßig eine Zu gangskontrollliste, in der gerätespezifische Informationen aufgenommen sind, die z.B. eine Hardware-Kennung bzw. Adresse beinhalten. Nur den Endgeräten, die sich mit dieser in der Zugangskontrollliste hinterlegten Hardware-Adresse anmelden, wird der Netzwerkzugang vom drahtlosen Zugangspunkt ermöglicht. Ein Beispiel ist die MAC-Adresse (media access control), die jedem einen Netzwerkadapter besitzen Gerät eindeutig zugeordnet ist (Microsoft: "physikalische Adresse", Apple: "Airport ID", "Ethernet-ID" oder "Wi-Fi-Adresse"). Durch entsprechende Maßnahmen könnten externe, nicht in der Zugangskontrollliste enthaltene Geräte-Adressen ausgeschlos sen werden, das sogenannte MAC-Filtering.
Allerdings kann jede MAC-Adresse eines jeweiligen Netzwerkknotens leicht geänder te werden, da MAC-Adressen nicht vom Netzwerkadapter des betreffenden Endge räts an den Zugangspunkt übertragen werden, welches als "Spoofing" bekannt ist. Vielmehr lesen dabei entweder das jeweilige Betriebssystem oder ein speziell einge richteter Netzwerkmanager diese Adresse vom Adapter aus und übertragen diese an den Zugangspunkt. Die ausgelesene Adresse kann dabei durch eine geeignete Software verändert werden um ein anderes Endgerät vorzutäuschen. Anzumerken ist, dass bei der allgemeinen Kommunikation auf der Ebene des Data Link Layers (OSI-Schicht 2) zwischen Endgerät und drahtlosem Zugangspunkt solche Grundin formationen (Verschlüsselungstyp, Übertragungsgeschwindigkeit, MAC-Adresse etc.) regelmäßig unverschlüsselt übertragen werden, so dass das Spoofing nicht beson ders erschwert ist. Die Verwendung von MAC-Filtern allein bietet infolgedessen nur einen eingeschränkten Schutz vor einem unerlaubtem Netzwerkzugang Dritter.
Darstellung der Erfindung
Es ist daher eine Aufgabe der Erfindung, ein System zum Bereitstellen eines drahtlo sen Netzwerks vorzuschlagen, das die Sicherheit vor einem unerlaubtem Zugriff auf die in einem Netzwerk übertragenen Daten erhöht und die Stabilität eines solchen Funknetzwerks verbessert. Es ist auch eine Aufgabe, ein entsprechendes Verfahren bereitzustellen.
Die Aufgabe wird gelöst durch ein System zum Bereitstellen eines drahtlosen Netz werks mit den Merkmalen von Patentanspruch 1 sowie durch ein entsprechendes Verfahren gemäß Patentanspruch 14. Vorteilhafte Weiterbildungen des erfindungs gemäßen Systems sind Gegenstand der abhängigen Ansprüche. Die Lösung betrifft ein System zum Bereitstellen eines drahtlosen Netzwerks, das eine Vielzahl von drahtlosen Zugangspunkten umfasst, die jeweils einen begrenzten Raumbereich in einem Gebäude oder einer baulichen Anlage beziehungsweise die sich in diesem Raumbereich befindlichen Endgeräte (clients) mit einem Zugang zu dem drahtlosen Netzwerk versorgen. Das drahtlose Netzwerk kann ein Infrastruktur netzwerk mit einem kabelgebunden (Ethernet, KNX, DALI, etc.) mit den einzelnen drahtlosen Zugangspunkten verbundenen Router sein (z.B. auch ein Distribution System, DS), oder auch ein Ad-Hoc-Netzwerk und ohne weitere Verbindung zu an deren Netzwerken. Ferner ist das Netzwerk nicht auf bestimmte Technologien be schränkt, z.B. kann es ein mit der IEEE 802.11 -Familie konformes Wi-Fi-Netzwerk sein, oder z.B. ein Zigbee-Netzwerk (IEEE 802.15.4).
Das Gebäude oder die bauliche Anlage selbst ist nicht Teil der beanspruchten Lö sung, sondern bezeichnet vielmehr die Anwendung und den räumlichen Bezug des Drahtlosnetzwerks. Ein Gebäude umfasst z.B. mehrere Räume und/oder Etagen.
Das Netzwerk kann auf Teile von Gebäuden beschränkt sein, die z.B. einem das Netzwerk betreibenden Unternehmen zugeordnet sind. Eine bauliche Anlage kann wie beschrieben etwa ein Firmen- oder Universitäts- oder Forschungscampus sein, oder eine Messe mit mehreren Gebäuden/Hallen und/oder einen Außenbereich mit Pavillons oder ähnlichem, aber auch ein Flughafen oder Bahnhof. Kennzeichnend ist, dass Zonen mit erhöhten Anforderungen an die Netzwerksicherheit unmittelbar an öffentliche Zonen oder solche mit geringeren Anforderungen angrenzen können.
Ferner ist wenigstens ein Raumzonencontroller vorgesehen, der mit zumindest ei nem Teil der drahtlosen Zugangspunkten verbunden und ausgelegt ist, eine Gerä teinformation eines sich im Netzwerk anmeldenden Endgeräts und/oder externen drahtlosen Zugangspunkts über die mit ihm verbundenen drahtlosen Zugangspunkte zu empfangen und anhand einer Zuordnung zu einem oder mehreren der verbunde nen drahtlosen Zugangspunkte die räumliche Position des betreffenden Endgeräts und/oder externen drahtlosen Zugangspunkts in oder nahe dem Gebäude oder der baulichen Anlage zu bestimmen. Der Ausdruck Raumzonencontroller wird als Bezeichner für eine mit den drahtlosen Zugangspunkten verbundene Steuervorrichtung verwendet und impliziert, dass die ser speziell für eine der Teilmenge der Zugangspunkte entsprechende Raumzone eingerichtet ist. Die Teilmenge der mit dem Raumzonencontroller verbundenen Zu gangspunkte deckt daher mit ihrer Strahlung vorzugsweise eine zusammenhängen den dreidimensionalen Raum ab ("Raumzone"). Diese Raumzone kann sich auch über die physikalische Grenze des Gebäudes oder Gebäudeteils (Etagenboden, - decke, Außenwand, Fenster) etc. hinaus erstrecken und ist durch die Reichweite der (äußeren) drahtlosen Zugangspunkte bestimmt.
Der Raumzonencontroller ist ausgelegt, anhand einer Zuordnung zu einem oder mehreren der verbundenen drahtlosen Zugangspunkte die räumliche Position eines Endgeräts und/oder eines externen drahtlosen Zugangspunkts in oder nahe dem Gebäude oder der baulichen Anlage zu bestimmen. Die Positionsbestimmung kann auf verschiedene Weise erfolgen. Im einfachsten Fall wird die Flardware-Adresse desjenigen Zugangspunkts mit einer (z.B. in einem Speicher hinterlegten) Positions referenzliste verglichen, an dem sich das Endgerät etc. anmeldet. Aus dieser Positi onsreferenzliste ist die Position auslesbar und wird dem Endgerät etc. zugeordnet. Desweiteren können mehrere der Zugangspunkte, die mit dem Raumzonencontroller verbunden sind, eine Signalstärke ermitteln, mit der sie das Endgerät empfangen, woraufhin der Raumzonencontroller anhand der Positionsreferenzliste für die draht losen Zugangspunkte eine genaue räumliche Position mittels entsprechender Soft ware-Algorithmen berechnen kann. Ferner ist grundsätzlich auch eine Positionsbe stimmung aufgrund einer Messung der Signallaufzeit vom Endgerät zu einzelnen der drahtlosen Zugangspunkte (Triangulation) bzw. eine Messung der zeitlichen Diffe renz des Signalempfangs bei diesen möglich.
Bei der Position kann es sich aber Aspekten der Erfindung zufolge auch nur um die bloße Angabe der Raumzone als Ganzes handeln, d.h. , das Ereignis dass sich das Endgerät bei einem der mit dem Raumzonencontroller verbundenen drahtlosen Zu gangspunkte angemeldet hat. Dieser Aspekt ist relevant, wenn mehrere Raumzo nencontroller vorgesehen sind und dadurch eine Unterteilung des gesamten Raum bereichs in Raumzonen erfolgt, die Positionen entsprechen und Informationen dar- über zulassen, ob sich das Endgerät in einer für diese erlaubten oder nicht erlaubten Zone befindet.
Der Raumzonencontroller ist mit den drahtlosen Zugangspunkten über eine Datenlei tung verbunden, z.B. Ethernet, DALI, KNX, etc., oder drahtlos wiederum über WLAN oder Zigbee, etc. Der Raumzonencontroller kann als elektronischer Baustein in ei nem Router vorgesehen sein, oder dezentral, z.B. in Verbindung mit einem der Zu gangspunkte, oder einer Wireless Bridge oder einem Wireless Repeater. Er kann auch auf reiner Software-Ebene abgebildet sein, und als Computerprogramm rech nergestützt in einem Prozessor z.B. eines zentralen oder dezentralen Servers aus führbar sein.
Desweiteren ist ein zentraler Sicherheitscontroller vorgesehen, der mit dem Raum zonencontroller verbunden ist und eine Zugangskontrollliste (access control list, ACL) bereitstellt, wobei die Zugangskontrollliste eine Netzzugangsbeschränkung abhängig von Geräteinformationen und räumlichen Positionen festlegt. Die Netzzugangsbe schränkung kann dabei eine einfache Zugangserlaubnis oder -ablehnung/- zurückweisung beinhalten, oder aber ein abgestuftes System mit auch eingeschränk ten Zugang bieten, etwa durch Verschaffen eines Zugangs zu einem "Dummy"- Funknetzwerk, das lediglich für das Endgerät nutzlose Informationen wie beispiels weise Werbung des das Funknetzwerk betreibenden Unternehmens überträgt.
Von Bedeutung ist die Zuordnung der Netzzugangsbeschränkung zu einer räumli chen Position in der Zugangskontrollliste. Dies erlaubt es, die Position eines sich anmeldenden Endgeräts als zusätzliches Kriterium dafür herzunehmen, ob der ge wünschte Netzwerkzugang für das spezielle Endgerät - ausgewiesen durch die Ge räteinformation wie beispielsweise seine Hardware- oder MAC-Adresse - gerechtfer tigt ist oder nicht.
Wie eingangs beschrieben ist es nämlich möglich, bei einem Endgerät die an den drahtlosen Zugangspunkt übertragene Geräteadresse zu ändern und dabei z.B. die jenige Adresse eines nach Mitschnitt von Kommunikation als ohne Zugangsbe schränkung nachgewiesenen Endgeräts auszuwählen und zu übertragen. Befindet sich das Endgerät mit der Geräteadresse nun an einer Position in einem unerlaubten Bereich, beispielsweise außerhalb einer Raumbereichs, für den das Endgerät zuge lassen ist, insbesondere außerhalb des Gebäudeteils in den Räumen eines benach barten Unternehmens, kann der Netzzugang trotz gefälschter Geräteadresse wirk sam verhindert werden.
Anders herum kann durch MAC-Filtering ein sich (aufgrund der ermittelten Position) innerhalb des zu schützenden Raumbereichs bewegendes oder befindliches Endge rät mit nicht autorisierter Geräteadresse identifiziert und am Netzzugang gehindert werden.
Dazu ist der Raumzonencontroller ausgelegt, die empfangene Geräteinformation und die bestimmte räumliche Position mit der Zugangskontrollliste zu vergleichen, um eine entsprechende Netzwerkszugangsbeschränkung für das sich anmeldende End gerät und/oder den externen drahtlosen Zugangspunkt zu ermitteln, und abhängig von dem Ergebnis das sich anmeldende Endgerät und/oder den externen drahtlosen Zugangspunkt am Netzwerkzugang zu hindern.
Der wenigstens eine Raumzonencontroller und der zentrale Sicherheitscontroller können über eine kabelgebundene oder drahtlose Kommunikation miteinander ver bunden sein, z.B. Ethernet, DALI, KNX, etc., oder drahtlos wiederum über WLAN oder Zigbee, etc. Ebenso wie der Raumzonencontroller kann der zentrale Sicher heitscontroller als elektronischer Baustein in einem Router vorgesehen sein, oder dezentral, z.B. in Verbindung mit einem der Zugangspunkte, oder einer Wireless Bridge oder einem Wireless Repeater. Er kann auch wie jener auf reiner Software- Ebene abgebildet sein, und als Computerprogramm rechnergestützt in einem Pro zessor z.B. eines zentralen oder dezentralen Servers ausführbar sein. Der zentrale Sicherheitscontroller und die Raumzonencontroller können auch im gleichen Gerät oder im gleichen elektronischen Bauteil angeordnet sein bzw. als Programm zur Aus führung gebracht werden.
Einer besonders vorteilhaften Weiterbildung zufolge sind die drahtlosen Zugangs punkte der Vielzahl jeweils einer Leuchte in dem Gebäude oder der baulichen Anlage zugeordnet und besitzen jeweils mit dieser eine gemeinsame Leistungsversorgung. Dabei kann mit Vorteil auf das in der Regel engmaschige Netz von Leuchten zurück gegriffen werden, wie sie oftmals in Büroräumen oder Fertigungshallen etc. vorlie gen. Überdies bieten moderne Beleuchtungsanlagen zentrale Steuerungen und dafür angepasste Bussysteme (wie DALI oder KNX, oder auch das drahtlose Zigbee) zur Steuerung der einzelnen Leuchten der Beleuchtungsanlage. Diese Bussysteme sind regelmäßig schmalbandig, da keine hohen Anforderungen an die Übertragungsrate bestehen, weil oft lediglich Werte für die Einstellparameter für die Leuchten übermit telt werden und/oder in zeitlichen Abständen Sensorwerte abgerufen werden.
Bei dieser Weiterbildung können die Raumzonencontroller und/oder auch der zentra le Sicherheitsserver über solche Bussysteme verbunden werden, d.h., der oder die die Raumzonencontroller mit den drahtlosen Zugangspunkte in den Leuchten und die Raumzonencontroller mit dem zentralen Sicherheitscontroller. Es hat sich herausge stellt, dass auch für diese Anforderung das entsprechende Bussystem der Beleuch tungsanlage völlig ausreichend ist (d.h., z.B. DALI, KNX oder Zigbee), da es nur ge legentliche Anfragen sich anmeldender Geräte und entsprechende Sicherheitsprü fungen beim Vergleich mit der Zugangskontrollliste gibt.
Die Leistungsversorgung kann dagegen über dieses Bussystem oder über Ethernet erfolgen (PoE, Power over Ethernet).
Einer weiteren Weiterbildung zufolge sind die Vielzahl der drahtlosen Zugangspunkte in einem zusammenhängenden, engmaschigen, gitterartigen Netz angeordnet, so dass im Fall eines sich im Netzwerk anmeldenden Endgeräts anhand einer sich zeit lich verändernden Zuordnung zu den drahtlosen Zugangspunkten des gitterartigen Netzes dessen Position und Bewegung im Gebäude oder der baulichen Anlage lü ckenlos verfolgbar ist. Ein solches engmaschiges und vor allem gitterartiges Netz bringt den Vorteil mit sich, dass die Auflösung der Positionsbestimmung deutlich er höht wird. Ferner sind in einem Gitter (wie zum Beispiel insbesondere bei einer Groß raumbeleuchtung) Positionsreferenzlisten der Zugangspunkte einfach zu erstellen, insbesondere die einzelnen Positionen der Zugangspunkte bei der Installation leicht zu erfassen. Ein besonderer Vorteil entsteht dabei dadurch, dass die Strahlungsleistung des ein zelnen drahtlosen Zugangspunkts deutlich reduziert werden kann, da im engmaschi gen Gitter der benachbarte Zugangspunkt näher liegt. Ferner können, wenn die Er findung wie oben beschrieben in Kombination mit Leuchten erfolgt, Charakteristiken der Leuchten wie beispielsweise Reflektoren eingesetzt werden, um eine Richtwir kung der WLAN-Strahlung zu erzielen, so dass die entsprechende Raumzone im engmaschigen Gitter auf den gewünschten Raumbereich begrenzt werden kann, d.h. Angriffe von außen vermieden werden. Die isotrope RF-Strahlungsleistung EIRP der beteiligten drahtlosen Zugangspunkte in der Vielzahl und insbesondere der Teilmen ge für die Raumzone beträgt rein beispielhaft 50 mW oder bei 2,4 GHz und 100 mW oder weniger bei 5 GHz.
Einer weiteren Weiterbildung der Erfindung zufolge ist der Raumzonencontroller nur mit solchen drahtlosen Zugangspunkten verbunden, die in einer Raumzone an einem Außenrand des zusammenhängenden, engmaschigen, gitterartigen Netzes gelegen sind. Dadurch kann ein innerer Raumbereich von ungeschützten bzw. öffentlich zu gänglichen Bereichen außerhalb des Gebäudes oder Gebäudeteils abgeschirmt werden. Angreifende Endgeräte oder externe Zugangspunkte melden sich primär an drahtlosen Zugangspunkten der geschützten Raumzone an, wobei die räumliche Po sition dieser Endgeräte etc. vom entsprechenden Raumzonencontroller ermittelt wer den kann. Die äußere Raumzone erlaubt es nun spezifische Massnahmen in Bezug auf die Angreifer zu unternehmen, beispielsweise ein Dummy-Netzwerk aufzubauen, das für die Angreifer nutzlose Informationen zur Verfügung stellt, oder mit nachfol gend zu beschreibenden Mitteln den Zugang zum Netzwerk des inneren Raumbe reichs erschwert oder unmöglich macht.
Einer weiteren Weiterbildung der Erfindung zufolge sind eine erste und wenigstens eine zweite Raumzone festgelegt, die verschiedenen Abschnitten des Gebäudes, Gebäudeteils oder der baulichen Anlage entsprechen und denen jeweils unterschied liche, räumlich zusammenhängend angeordnete Teilmengen der drahtlosen Zu gangspunkte in dem Gebäude oder der baulichen Anlage zugeordnet sind. Für jede Raumzone ist ein entsprechender Raumzonencontroller vorgesehen. Der zentrale Sicherheitscontroller ist dabei mit allen Raumzonencontrollern verbunden und stellt diesen die Zugangskontrollliste bereit. Durch eine Positionsermittlung in z.B. einer der für den Zutritt verbotenen Zone können Endgeräte (Clients) ausgeschlossen werden. Falls sich ein Benutzer von der öffentlichen Raumzone („free zone“) in eine für den Zutritt verbotene Zone bewegt, könnte z.B. folgendes geschehen:
seine Endgeräteadresse (MAC-Adresse) wird von der Whitelist in die Blacklist verschoben;
seine Anmeldung im Netzwerk bzw. eine Sitzung (Session) kann vom drahtlo sen Zugangspunkt (Access Point) getrennt werden.
Eine Deauthication oder alternativ eine lokale Reduzierung der Leistung (siehe un ten) ist hier allerdings eher bevorzugt. Somit wäre eine Wechselwirkung zwischen den Raumzonen, d.h. Kommunikation zwischen den jeweiligen Raumzonencontrol lern (abgesehen von der Anwendung einer zentralen Whitelist/Blacklist) grundsätzlich anwendbar (d.h. ein festgestelltes Ereignis in der einen Raumzone und getroffene Abwehrmaßnahmen in der anderen). Dadurch wird es möglich verschiedene räumli che Sicherheitsstufen zu realisieren, z.B. öffentlich, nur firmenintern und beschränkt auf Spezialaufgaben (Entwicklung, Buchhaltung, Personal, Unternehmensleitung, Rechtsabteilung).
Einer weiteren Weiterbildung der Erfindung zufolge sind der oder die Raumzonen controller ausgelegt, den Netzwerkzugang zu verhindern, indem er wenigstens einen der ihm zugeordneten drahtlosen Zugangspunkte veranlasst, wiederholt Deauthenti- fizierungs-Frames mit einer aus der empfangenen Geräteinformation bestimmten spezifischen Hardware-Adresse des Endgeräts und/oder externen drahtlosen Zu gangspunkts auszusenden. Durch diese auch Jamming genannte Verfahren wird das angreifende Endgerät bzw. der externe Zugangspunkt besonders wirksam und dau erhaft am Netzzugang gehindert. Allerdings ist dieser Aspekt voraussichtlich nicht kompatibel mit solchen Drahtlosnetzwerken, die konform mit IEEE 802.11w sind.
Einer weiteren Weiterbildung der Erfindung zufolge sind der oder die Raumzonen controller ausgelegt, den Netzzugang zu verhindern, indem aus der empfangenen Geräteinformation eine spezifische Hardware-Adresse des Endgeräts ermittelt und mit einer Liste von Hardware-Adressen vergleicht, die in der Zugangskontrollliste entweder als freigegeben oder alternativ als gesperrt vorgegeben sind. Wie be schrieben ist das MAC-Filtern in Kombination mit der Positionsbestimmung ein wirk sames Mittel um Angreifer zu erfassen.
Einer weiteren Weiterbildung der Erfindung zufolge sind der oder die Raumzonen controller ausgelegt, die verbundenen drahtlosen Zugangspunkte in einen Monitor modus zu schalten, um diese als WLAN-Sniffer zu betreiben, um die externen draht losen Zugangspunkte aufzuspüren und deren räumliche Position zu bestimmen. Als WLAN-Sniffer übertragen die Netzzugangspunkte dieser Raumzone keine Daten. Diese Weiterbildung ist daher besonders vorteilhaft in Kombination mit einer im Randbereich des Netzwerks angeordneten Teilmenge bzw. Raumzone, die den inne ren Raumbereich vom einem Bereich außerhalb des Gebäudeteils oder Gebäudes etc. abschirmt.
Einer weiteren Weiterbildung der Erfindung zufolge umfasst das System eine Be nachrichtigungsvorrichtung, die mit dem Sicherheitscontroller und/oder dem Raum zonencontroller verbunden ist und im Fall eines aus dem Vergleich resultierenden nicht autorisierten Netzzugangs durch das Endgerät und/oder den externen Zu gangspunkt eine Warnmeldung ausgibt, die den Zeitpunkt des nicht autorisierten Netzzugangs, die Hardware-Adresse und die Position des Endgeräts und/oder des externen Zugangspunkts beinhaltet. Dadurch wird es möglich weitere gezielte Maß nahmen einzuleiten oder ein Angreiferprofil zu erstellen.
Einer weiteren Weiterbildung der Erfindung zufolge ist der Raumzonencontroller aus gelegt, eine Leistung, mit welcher die drahtlosen Zugangspunkte Datenpakete über mitteln, für jeden drahtlosen Zugangspunkt individuell einzustellen, wobei, wenn der Raumzonencontroller infolge des Vergleichs mit der Zugangskontrollliste feststellt, dass das sich anmeldende Endgerät oder der externe drahtlose Zugangspunkt am Netzzugang zu hindern ist, der Raumzonencontroller die Leistung zumindest desje nigen drahtlosen Zugangspunkts, welcher der erfassten Position des Endgeräts oder des externen drahtlosen Zugangspunkts entspricht, reduziert oder ganz abschaltet. Dadurch wird dem angreifenden Endgerät etc. die Möglichkeit genommen, Daten aus dem Netzwerk zu erhalten, und zwar genau dort, wo es sich aufhält. Die Sniffing- Funktion kann weiter aufrechterhalten werden, um eine Position zu ermitteln bzw. ein Bewegungsprofil zu erstellen. Die Leistungsreduktion oder -abschaltung bewegt sich mit dem angreifenden Endgerät weiter und bleibt dadurch mit Vorteil lokal begrenzt - der Angreifer sieht kein Netzwerk mehr. In Analogie zur dynamischen Anpassung von Leistung, mit der einzelne Leuchten einer Beleuchtungsanlage gezielt versorgt werden, um eine sich durch einen ansonsten dunklen Raum bewegende Person mit ausreichendem Licht zu versorgen, kann dieser Aspekt ebenfalls als "Swarming" be zeichnet werden.
Einer weiteren Weiterbildung dieses Aspekts zufolge ist der Raumzonencontroller ausgelegt, zusätzlich die Leistung derjenigen drahtlosen Zugangspunkte individuell zu reduzieren, die im Netz räumlich benachbart sind zu dem drahtlosen Zugangs punkt, welcher der erfassten Position des Endgeräts oder des externen drahtlosen Zugangspunkts entspricht. Mit dieser Erweiterung wird die Leistungsreduktion noch besser lokal angepasst, um einerseits den Angreifer wirksam am Netzzugang zu hin dern, andererseits aber auch die Auswirkungen auf andere Endgeräte, die sich in der Nähe befinden, so gering wie möglich zu halten.
Einer entsprechenden Weiterbildung dieses Aspekts zufolge werden die Teilmenge der drahtlosen Zugangspunkte auch im Fall einer Leistungsreduktion oder - abschaltung vom Raumzonencontroller wenigstens im Monitormodus weiterbetrie ben. Der Raumzonencontroller verfolgt das im Netzwerk das angemeldete oder sich anmeldende Endgerät und/oder den externe drahtlose Zugangspunkt anhand einer sich zeitlich verändernden Zuordnung zu den drahtlosen Zugangspunkten des Net zes im Hinblick auf dessen Position und Bewegung durch die erste Raumzone ver folgt, und aktualisiert die Auswahl des- oder derjenigen drahtlosen Zugangspunkte, deren Leistung für die Datenübermittlung reduziert wird, anhand der verfolgten Posi tion.
Einer weiteren Weiterbildung der Erfindung zufolge ist der Raumzonencontroller aus gelegt, eine Leistung, mit welcher die drahtlosen Zugangspunkte der ihm zugeordne ten Teilmenge die Datenpakete übermitteln, für jeden drahtlosen Zugangspunkt indi viduell einzustellen, wobei der Raumzonencontroller die drahtlosen Zugangspunkte im Regelbetrieb bei reduzierter oder abgeschalteter Leistung für die Übermittlung von Datenpaketen betreibt. Wenn der Raumzonencontroller die räumliche Position eines Endgeräts und/oder eines externen drahtlosen Zugangspunkts ermittelt und der Ver gleich der Geräteinformation mit der Zugangskontrollliste ergibt, dass das sich an meldende Endgerät nicht am Netzzugang zu hindern ist, erhöht der Raumzonencon troller die Leistung zumindest desjenigen drahtlosen Zugangspunkts und vorzugs weise auch von dessen räumlich benachbarten drahtlosen Zugangspunkten, welcher der räumlichen Position des Endgeräts und/oder eines externen drahtlosen Zu gangspunkts entspricht.
Dieser Aspekt entspricht einer Umkehrung des vorigen Erfindungsaspekts des "Swarmings": hier wird das gesamte Netz bei reduzierter Strahlungsleistung betrie ben und nur ausgewählte drahtlose Zugangspunkte werden hinsichtlich ihrer Leis tung erhöht, in deren Bereich sich autorisierte Endgeräte befinden. Abgesehen von der Energieeinsparung und verringerter Strahlungsbelastung wird dadurch die Netz sicherheit erhöht, dass der Netzzugang für Angreifer an sich im Ganzen durch das für sie immer nur schwach oder gar nicht sichtbare Netzwerk erschwert ist.
Erfindungsgemäß ist auch ein Verfahren zum Bereitstellen eines drahtlosen Netz werks vorgesehen. Es umfasst die Schritte:
Bereitstellen einer Vielzahl von drahtlosen Zugangspunkten, die jeweils einen begrenzten Raumbereich in einem Gebäude oder einer baulichen Anlage mit einem Zugang zu dem drahtlosen Netzwerk versorgen,
Bereitstellen eines Raumzonencontrollers, der mit zumindest einem Teil der drahtlosen Zugangspunkten verbunden und ausgelegt ist, eine Geräteinformation eines sich im Netzwerk anmeldenden Endgeräts und/oder externen drahtlosen Zu gangspunkts über die mit ihm verbundenen drahtlosen Zugangspunkte zu empfan gen und anhand einer Zuordnung zu einem oder mehreren der verbundenen drahtlo sen Zugangspunkte die räumliche Position des betreffenden Endgeräts und/oder ex ternen drahtlosen Zugangspunkts in oder nahe dem Gebäude oder der baulichen Anlage zu bestimmen, und
Bereitstellen eines zentralen Sicherheitscontrollers, der mit dem Raumzonen controller verbunden ist und eine Zugangskontrollliste bereitstellt, wobei die Zu- gangskontrollliste eine Netzzugangsbeschränkung abhängig von Geräteinformatio nen und räumlichen Positionen festlegt,
wobei der Raumzonencontroller ausgelegt ist, die empfangene Geräteinforma tion und die bestimmte räumliche Position mit der Zugangskontrollliste zu verglei chen, um eine entsprechende Netzwerkszugangsbeschränkung für das sich anmel dende Endgerät und/oder den externen drahtlosen Zugangspunkt zu ermitteln, und abhängig von dem Ergebnis das sich anmeldende Endgerät und/oder den externen drahtlosen Zugangspunkt am Netzwerkzugang zu hindern.
Es ergeben sich dieselben Vorteile, wie sie mit Bezug auf das System und deren Weiterbildungen beschrieben wurden.
Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus den Ansprüchen, der nachfolgenden Beschreibung bevorzugter Ausführungsformen so wie anhand der Zeichnungen. In den Figuren bezeichnen gleiche Bezugszeichen gleiche Merkmale und Funktionen.
Kurze Beschreibung der Zeichnung(en)
Es zeigen:
Fig.1 in schematischer Darstellung eine Draufsicht auf einen Grundriss einer Etage eines Gebäudes mit einer Anordnung von Leuchten und einem drahtlosen Zugangspunkten im Zentrum der Anordnung in einem System gemäß dem Stand der Technik;
Fig. 2 in schematischer Darstellung eine Draufsicht auf einen Grundriss einer Etage eines Gebäudes mit einer Anordnung von Leuchten und diesen jeweils zu geordneten drahtlosen Zugangspunkten in Raumzonen eines Systems zum Aufbauen eines drahtlosen Netzwerks gemäß einem ersten Ausführungsbei spiel der Erfindung;
Fig. 3 wie Fig. 2, jedoch gemäß einer Abwandlung des Ausführungsbeispiels; Fig. 4 ein Blockdiagramm mit einer Übersicht über das System gemäß dem ersten Ausführungsbeispiel;
Fig. 5 ein Flussdiagram zur Erläuterung der Funktionsweise des Systems aus Fig.
4;
Fig. 6. ein schematisches Diagramm zur Erläuterung des im ersten und zweiten Ausführungsbeispiel eingesetzten Jammings;
Fig. 7 in schematischer Darstellung eine Draufsicht auf einen Grundriss einer Etage eines Gebäudes mit einer Anordnung von Leuchten und diesen jeweils zu geordneten drahtlosen Zugangspunkten in Raumzonen eines Systems zum Aufbauen eines drahtlosen Netzwerks gemäß einem zweiten Ausführungs beispiel der Erfindung;
Bevorzugte Ausführungsform(en) der Erfindung
Als Vergleichsbeispiel zur Erfindung ist in Fig. 1 ein herkömmliches System zum Auf bau eines Funknetzwerks skizziert. In der schematischen Darstellung ist in Draufsicht der Grundriß einer Etage eines Gebäudes bzw. Gebäudeteils 1 zu sehen, der von Außenwänden 2 begrenzt ist. Im Innern 6 des Gebäudes ist eine Deckenbeleuchtung vorgesehen, die aus einer Matrix bzw. aus einem Gitter von Leuchten 4 besteht, die folglich z.B. in Reihen und Spalten mit jeweils geeigneten Abständen untereinander angeordnet sind, um eine möglichst homogene Ausleuchtung des gezeigten Raums 2a in der Etage des Gebäudes bzw. Gebäudeteils 1 zu erzielen. Jede Leuchte 4 kann unmittelbar einem oder mehreren darunter befindlichen Arbeitsplätzen (nicht gezeigt) zugeordnet sein. Es kann sich z.B. um ein Großraumbüro handeln.
Ein Drahtlos- bzw. Funknetzwerk kann in dem Gebäude oder Gebäudeteil 1 durch jeweils einen drahtlosen Zugangspunkt 9 (wireless access point (AP)) je Etage auf gebaut werden. Es ist auch möglich, dass lediglich ein Zugangspunkt 9 überhaupt vorgesehen ist. Der Zugangspunkt 9 kann mit einem Router verbunden sein, so dass vermittels einer Bridge und einem Switch (nicht gezeigt) ein Zugang zu einem Netz werk im Internet hergestellt werden kann. Switch, Bridge, Router und Zugangspunkt 9 können in ein und demselben Gerät eingerichtet sein.
Die Leistung der im Raum 2a abgestrahlten Strahlung ist so ausgelegt, dass auch solche Endgeräte (clients), die sich beispielsweise in den Ecken des Raums 2a, z.B. unter der Leuchte 4 oben links in Fig. 1 , befinden, eine ausreichende Strahlungsin tensität erhalten, um eine stabile Verbindung mit dem drahtlosen Zugangspunkt 9 aufbauen zu können. Strahlt der drahtlose Zugangspunkt 9 z.B. wie die Leuchten 4 von der Decke aus weitgehend isotrop zumindest in die Ebene der Etage hinein, so folgt daraus, dass - wie in Fig.1 durch die strichpunktierte Linie angedeutet ist, die ein Reichweite 9a des drahtlosen Zugangspunkts 9 wiedergibt - auch in einem Be reich 8 außerhalb des Gebäudes bzw. Gebäudeteils 1 , nämlich in dem durch Schraf fur gekennzeichneten Bereich 8a, eine Versorgung etwaiger dort befindlicher Endge räte mit einem Netzwerkzugang möglich ist, vorausgesetzt, dass die Außenwände im Wesentlichen durchlässig für die Radiofrequenzstrahlung sind. Durch den hier nur einen drahtlosen Zugangspunkt 9 (z.B. je Etage, Raum oder Großraumbüro) sowie die Geometrie des Grundrisses ist dieser Bereich 8a hier besonders groß.
Ein erstes Ausführungsbeispiel eines Systems zum Aufbau eines drahtlosen Netz werks, hier ein IEEE 802.1 1 konformes WLAN- oder Wi-Fi-Netzwerk, das diesen Nachteil beheben kann, ist in Fig. 2 dargestellt. Die Gegebenheiten des Gebäudes bzw. Gebäudeteils 1 mit Außenwänden 2 und Raum 2a darin seien identisch zum Vergleichsbeispiel der Fig. 1 . Hier ist jeder Leuchte 4 im Raum 2a jeweils ein drahtlo ser Zugangspunkt 10 bzw. 10' zugeordnet. Die Leuchten werden z.B. durch ein aus der Gebäudeautomation bekanntes Kommunikationssystem von einer Steuervorrich tung zentral gesteuert. Jeder drahtlose Zugangspunkt 10, 10' kann integral mit der Leuchte (z.B. in der Raumdecke) verbaut sein, indem er z.B. auf deren Rahmen oder Reflektor für seine Antennenfunktion und/oder auf einen gemeinsamen Controller und/oder Verkabelungsanschluss/Datenanbindung (Ethernet, DALI, KNX etc.) zu rückgreift. Ein Vorteil besteht darin, dass dort, wo Licht für Arbeitsplätze benötigt wird, dann regelmäßig auch Bedarf für einen Netzwerkanschluss besteht. Die Strah lungsleistung für die Vielzahl von drahtlosen Zugangspunkten 10, 10' kann in diesem Ausführungsbeispiel deutlich niedriger ausgeführt werden, z.B. deutlich unter der maximal zulässigen Strahlungsleistung liegen, etwa bei 50 mW oder weniger für 2,4 GHz und/oder 100 mW oder weniger für 5 Ghz-Frequenzintervalle. Beispielsweise können die Reichweiten von Licht und RF-Strahlung aneinander angepasst werden.
Durch die Zuordnung der drahtlosen Zugangspunkte 10, 10' zu den Leuchten 4 ent steht eine räumlich gitterartige und engmaschige Netzanordnung 12 mit hoher Positi onsauflösung.
Wie schematisch in Fig. 2 zu sehen ist, ist der schraffierte Bereich 8b in einem Be reich 8 außerhalb des Innern 6 des Gebäudes bzw. Gebäudeteils 1 , in welchem ein Netzwerkzugang noch möglich ist, deutlich verringert im Vergleich zur Situation in Fig. 1 , so dass auch die Sicherheit des Funknetzwerks verbessert ist.
In diesem ersten Ausführungsbeispiel bilden die drahtlosen Zugangspunkte 10', die räumlich am Rande der Netzanordnung 12 gelegen sind, eine erste Raumzone 6a aus, während die nicht am Rande gelegenen eine zweite Raumzone 6b ausbilden. Die Raumzonen 6a, 6b bezeichnen denjenigen Raum, der von den jeweiligen draht losen Zugangspunkten 10, 10', die der betreffenden Raumzone 6a, 6b logisch zuge ordnet sind, durch Strahlung und Empfang für den Netzwerkzugang abgedeckt wird. Die Raumzonen 6a, 6b sind vorzugsweise jeweils für sich zusammenhängende Raumbereiche.
Die drahtlosen Zugangspunkte 10' der ersten Raumzone 6a sind mit einem ersten Raumzonencontroller 14 (engl.: area Controller) über eine Datenleitung 16 verbun den, wie aus Fig. 4 zu sehen ist, die den Aufbau des Systems 20 zeigt. Bei der Da tenleitung 16 kann es sich kabelgebunden um Ethernet, oder einen DALI-Bus (DALI, gemäß Normenfamilie IEC 62386, DALI steht für„Digital adressierbare Schnittstelle für die Beleuchtung“), KNX-Bus, oder nicht kabelgebunden um ZigBee oder auch WLAN selbst handeln etc. Desgleichen sind die drahtlosen Zugangspunkte 10 der zweiten Raumzone 6b mit einem zweiten Raumzonencontroller 18 (area Controller) über eine entsprechende Datenleitung 16 verbunden.
Der erste Raumzonencontroller 14 ist dabei ausgelegt, einzelne oder mehrere der mit ihm verbundenen drahtlosen Zugangspunkte 10' so zu steuern, dass eine oder meh rere der nachfolgend beschriebenen Abwehrmaßnahmen gegen potentielle Angreifer zur Geltung kommen, die insbesondere sich im Außenbereich 8 befindliche Endgerä te betreffen, wenn sich diese über einen der drahtlosen Zugangspunkte 10' einen Zugang zum internen Netzwerk verschaffen wollen (beispielsweise durch Netzwerk anmeldung).
Eine erste Maßnahme besteht darin, das betreffende Endgerät zu identifizieren und Im Fall mangelnder Autorisierung zurückzuweisen. Zunächst ist dazu eine spezifi sche Geräteinformation wie etwa die an und für sich eindeutige MAC-Adresse (Medi- a-Access-Control-Adresse) als Hardwareadresse des betreffenden Endgeräts zu be stimmen und diese später mit einer Zugangskontrollliste zu vergleichen. Bei Ethernet umfasst die MAC-Adresse insgesamt 48 Bit bzw. 6 Bytes, die oftmals in hexadezima ler Schreibweise vorliegen und byteweise durch Doppelpunkte getrennt geschrieben werden. Der erste Raumzonencontroller 14 empfängt diese Daten von dem entspre chenden drahtlosen Zugangspunkt 10' bei der Kontaktaufnahme/Anmeldung des Endgeräts über die Datenleitung 16.
Fig. 4 zeigt dazu ferner einen mit dem ersten Raumzonencontroller 14 sowie auch den zweiten Raumzonencontroller 18 über eine Datenleitung 22 verbundenen Si cherheitscontroller 24 (security Controller). Dieser hält die Zugangskontrollliste zentral vor. Die Zugangskontrollliste umfasst eine sogenannte "Whitelist" mit allen Endgerä ten bzw. deren MAC-Adressen, denen Zugang zum Netzwerk zu gewähren ist, und/oder eine sogenannte "Blacklist" mit allen solchen Endgeräten bzw. deren MAC- Adressen, denen ein Zugang zum Netzwerk ausdrücklich zu verweigern ist. Solche Zugangskontrolllisten können in einer Tabelle in einer Datei bzw. in einer Datenbank hinterlegt sein. Wie in Fig. 4 dargestellt ist, ist der Sicherheitscontroller 24 ferner mit über eine Da tenleitung 26 mit einer Administrationsschnittstelle 28 verbunden, beispielsweise ein Web-Interface oder eine Terminal oder Rechner mit secure-shell (SSH) Zugriff auf die entsprechende Konfigurationsdatei, um die Zugangskontrollliste zu konfigurieren und zu pflegen. Ferner ist der Sicherheitscontroller 24 auch mit einer externen Be nachrichtigungsvorrichtung 30 verbunden, die Warnmeldungen bei festgestellten An griffen nicht autorisierter Endgeräte etc. z.B. an den Nutzer, Anwender oder Netz werksbetreiber ausgibt.
Der erste Raumzonencontroller 14 führt den Vergleich der empfangenen MAC- Adresse mit der Liste gültiger MAC-Adressen (Whitelist) oder ungültiger MAC- Adressen (Blacklist) in der Zugangskontrollliste durch. Dies kann in Form einer An frage (request) an den Sicherheitscontroller 24 erfolgen, bei der der erste Raumzo nencontroller 14 die MAC-Adresse sendet und er ein Feedback vom Sicherheitscon troller 24 bzw. der ihn bildenden bzw. von ihm verwalteten Datenbank oder Tabelle erhält, ob ein Treffer vorliegt oder nicht, oder indem er jeweils aktuell oder regelmä ßig die komplette Zugangskontrollliste lädt und selbst einzeln vergleicht.
Stellt der erste Raumzonencontroller 14 fest, dass eine Verletzung vorliegt, hindert er den Zugang des betreffenden Endgeräts durch eine Zurückweisung.
Eine weitere oder alternative Maßnahme besteht darin, wenigstens einen der dem Raumzonencontroller 14 zugeordneten drahtlosen Zugangspunkte veranlassen, wie derholt Deauthentifizierungs-Frames mit der aus der empfangenen Geräteinformation bestimmten MAC-Adresse des Endgeräts auszusenden. Dies wird als Jamming be zeichnet. Das Endgerät wird dadurch wiederholt veranlasst, von sich aus automa tisch den Netzwerkzugang zu beenden. Es kommt daher nie zu einem wirksamen dauerhaften Netzwerkzugang.
Die Situation ist in einem modifizierten Ausführungsbeispiel in Fig. 6 dargestellt. Hierbei sendet wie beschrieben einer der drahtlosen Zugangspunkte 10' der Raum zone 6a wiederholt Deauthentifizierungs-Frames an das Endgerät 32 (hier rein schematisch als Smartphone dargestellt). Diese sind aber dergestalt, dass sich das Endgerät 32 von einem anderen drahtlosen Zugangspunkt 10, und zwar in der inne ren Raumzone 6b abmeldet bzw. zu diesem seine Verbindung wiederholt beendet.
Da es wie eingangs beschrieben möglich ist, auf Seiten des Betriebssystems oder auf Softwareebene die vom Endgerät übermittelte MAC-Adresse zu ändern, insbe sondere auf eine als vom Netzwerk als autorisierte betrachtete MAC-Adresse, wel ches für Dritte durch Sniffing festgestellt werden kann, werden in diesem Ausfüh rungsbeispiel noch weitere Maßnahmen getroffen, um die Autorisation des Endgeräts zu prüfen.
Der Raumzonencontroller 14 ist dabei ausgelegt, dem sich anmeldenden Endgerät eine Position zuzuordnen bzw. diese zu bestimmen. Die Position kann die Raumzone 6a selbst sein, oder die Position desjenigen drahtlosen Zugangspunkts 10', bei dem sich das Endgerät anzumelden versucht. Ferner kann eine genaue Positionsbestim mung erfolgen, indem für mehrere drahtlose Zugangspunkte die Leistung des emp fangenen Signals erfasst und miteinander in bezug auf die Position der drahtlosen Zugangspunkte 10' selbst verglichen wird. In Fig. 2 führt dies alles zu einer Lokalisie rung in der Raumzone 6a nahe der Außenwand 2 und ggf. zu einer Unterscheidung, ob im Innern 6 des Raums 2a oder im Außenbereich 8. Diese Zusatzinformation er laubt es dem ersten Raumzonencontroller 14, eine Bewertung anhand der Anmel dung des Endgeräts 32 durchzuführen. Dazu ist in der Zugangskontrollliste desweite ren eine Information dahingehend enthalten, ob das der MAC-Adresse zugeordnete Endgerät an dieser Position (d.h. in dieser Raumzone, oder bei diesem drahtlosen Zugangspunkt, oder an diesem genauen Standort) sich zu befinden autorisiert ist.
Der erste Raumzonencontroller 14 vergleicht dabei die vorzugsweise in der Zu gangskontrollliste für diese MAC-Adresse hinterlegte Position (d.h. Raumzone, Be reich des drahtlosen Zugangspunkts, oder genauer Standort) mit der tatsächlich zu geordneten, und trifft daraus resultierend eine der genannten Maßnahmen.
Ist die MAC-Adresse weder in einer Whitelist noch in einer Blacklist, kann ein Default vorgesehen sein (z.B. Zugang für alle Adressen außer Blacklist, Zurückweisung etc für alle Adressen außer Whitelist, etc.). Fig. 5 zeigt in einem Flussdiagramm einen Überblick über den Ablauf des Verfah rens: In einem Schritt 102 meldet sich ein (z.B. nicht autorisiertes) Endgerät 32 im Drahtlos-Netzwerk an, oder alternativ meldet sich im Schritt 104 ein externer drahtlo ser Zugangspunkt, der nicht Teil des Funknetzwerks ist, als Endgerät 32 an (z.B. Man-in-the middle-Angriff).
Im Schritt 106 empfängt der drahtlose Zugangspunkt 10' die Geräteinformation und leitet diese an den ersten Raumzonencontroller 14 weiter.
Im Schritt 108 empfängt der erste Raumzonencontroller 14 die Geräteinformation und vergleicht diese mit einer verteilten Zugangskontrollliste (access controll list, ACL), die er ebenfalls übermittelt bekommen hat.
Dazu wird vorab in einem Schritt 110 die Zugangskontrollliste über ein Web-Interface (Administrationsschnittstelle 28) konfiguriert und dabei eine Whitelist mit den für ei nen Netzwerkzugang autorisierten Endgeräten 32 erstellt, wobei die Whitelist bezo gen auf Raumzonen ist, d.h., Netzwerkzugangsbeschränkungen in Bezug auf Positi onen der Endgeräte enthält. In einem Schritt 112 wird diese Zugangskontrollliste in einer Tabelle oder Datenbank in dem zentralen Sicherheitscontroller 24 hinterlegt und gespeichert. In einem Schritt 114 wird diese Zugangskontrollliste an die Raum zonencontroller 14, 18 verteilt (übermittelt), unter anderem an den ersten Raumzo nencontroller 14.
In einem Schritt 116 berechnet der erste Raumzonencontroller 14 die Position des Endgeräts 32 wie oben beschrieben, anhand der übermittelten Informationen von dem oder den verbundenen drahtlosen Zugangspunkten 10', und im Schritt 118 ver gleicht der erste Raumzonencontroller 14 die ermittelte, bestimmte oder berechnete Position mit der in der Zugangskontrollliste hinterlegten (oder aus dieser ableitbaren) Position für Netzwerkzugang oder -Zurückweisung für die MAC-Adresse. Im Fall, dass der Vergleich zu einer Zurückweisung führt, wird der zentrale Sicherheitscon troller 24 im Schritt 120 veranlasst, eine Warnung in der Benachrichtigungsvorrich tung 30 auszugeben. Ferner wird in diesem speziellen Ausführungsbeispiel im Schritt 122 der drahtlose Zugangspunkt 10' veranlasst, ein Deauthentikations-Frame auszusenden, so dass sich das Endgerät von einem z.B. anderen drahtlosen Zugangspunkt 10 abmeldet (d.h. Verbindung beendet).
Es ist anzumerken, dass die drahtlosen Zugangspunkte 10' des ersten Ausführungs beispiels mit besonderem Vorteil auch im Monitormodus betrieben werden können, d.h., sie werden selbst gleichsam als Sniffer betrieben.
Mit Bezug auf Fig. 3 wird eine Abwandlung dieses ersten Ausführungsbeispiels be schrieben. Das gitterartige, engmaschige Netz 12 von drahtlosen Zugangspunkten wird dabei noch verfeinert, indem jeder Leuchte z.B. 4 vier drahtlose Zugangspunkte mit jeweils unterschiedlich ausgerichteten Antennen zugeordnet werden. Der ersten Raumzone 6a werden dabei nur die dem Außenbereich 8 am Rand des Netzes 12 zugewandten drahtlosen Zugangspunkte 40' zugeordnet, während die nach innen oder anderen, benachbarten Zugangspunkten zugewandten drahtlosen Zugangs punkte 40 sogar auch in Leuchten 4 nahe der Außenwand 2 der zweiten inneren Raumzone 6b zugeordnet sind. Dadurch wird die Raumzone 6a kleiner, so dass, wenn deren drahtlose Zugangspunkte 40' z.B. im Monitormodus betrieben werden, mehr Raum für das eigentliche Netzwerk zur Verfügung steht.
Mit Bezug auf Figur 7 wird ein zweites Ausführungsbeispiel beschrieben. In diesem Ausführungsbeispiel sind nicht mehr nur 2 Raumzonen, sondern vielmehr 3 Raum zonen festgelegt: eine öffentliche Raumzone 6c, eine Raumzone 6d mit einge schränktem Netzwerkzugang sowie eine Raumzone 6e ohne Netzwerkzugang. Es handelt sich z.B. um einen Kundenbereich, einen Flur oder Zwischentrakt und einen Sicherheitsraum im Gebäude 1 in dieser Reihenfolge. In Fig. 7 sind der Übersicht lichkeit halber nur noch die Leuchten 4, nicht mehr die drahtlosen Zugangspunkte gezeigt. Die Zuordnung von drahtlosen Zugangspunkte zu Leuchten ist aber hier wie in Fig. 2 oder 3.
Das entsprechende System 1 ' ist konfiguriert wie in Fig. 4 und 5 gezeigt. In diesem Ausführungsbeispiel wird eine Zugangskontrollliste ACL konfiguriert, bei der ein Raumzonencontroller (nicht gezeigt) für die Raumzone 6c z.B. weder eine Blacklist noch eine Whitelist führt. Eine Positionsinformation betrifft implizit die gesamte Raumzone für alle möglichen MAC-Adressen (die gesamte Raumzone alle Positonen in der Raumzone erlaubt).
Für die sicherheitsrelevantere Raumzone 6d exisiert z.B. eine Whitelist. Die entspre chende Positionsinformation betrifft implizit die gesamte Raumzone für alle MAC- Adressen der Whitelist. Für alle anderen möglichen MAC-Adressen ist die Position, d.h. die gesamte Raumzone mit allen enthaltenen drahtlosen Zugangspunkten ungül tig und führt zu einer Warnmeldung.
In der absoluten Sicherheitszone, d.h. Raumzone 6e ist überhaupt kein Endgerät zugelassen. Die Positionsinformation betrifft implizit wieder die gesamte Raumzone 6e, nun für alle möglichen MAC-Adressen.
Bei dieser Ausführungsform gestufter Autorisierungen für Netzwerkzugänge können mit Vorteil auch Swarming-Verfahren wie oben beschrieben eingesetzt werden. Da bei wird eine Leistung, mit welcher die drahtlosen Zugangspunkte Datenpakete übermitteln, für jeden drahtlosen Zugangspunkt individuell eingestellt. Wenn der Raumzonencontroller infolge des Vergleichs mit der Zugangskontrollliste feststellt, dass das sich anmeldende Endgerät 32 am Netzwerkzugang zu hindern ist, mindert der entsprechende Raumzonencontroller lediglich lokal die Leistung des- oder derje nigen drahtlosen Zugangspunkte, welche der erfassten Position des Endgeräts oder des externen drahtlosen Zugangspunkts entsprechen. Mit Sniffing kann überdies ei ne Positionsermittlung aufrechterhalten um ein Bewegungsprofil zu erstellen. Die Leistungsreduktion oder -abschaltung bewegt sich mit dem nicht autorisierten End gerät weiter und bleibt dadurch mit Vorteil lokal begrenzt - der Angreifer sieht kein Netzwerk mehr. In Analogie zur dynamischen Anpassung von Leistung, mit der ein zelne Leuchten einer Beleuchtungsanlage gezielt versorgt werden, um eine sich durch einen ansonsten dunklen Raum bewegende Person mit ausreichendem Licht zu versorgen, kann dieser Aspekt ebenfalls als "Swarming" bezeichnet werden. Es kann also auch die Bewegung eines Endgeräts durch das Netz von Zugangs punkten und ggf. durch die Raumzonen aufgezeichnet werden (Tracking). Abhängig vom Bewegungsprofil können sogar auch Maßnahmen getroffen werden. Bewegt sich ein Endgerät beispielsweise am Außenrand einer Raumzone von drahtlosem Zugangspunkt zu drahtlosem Zugangspunkt, so kann anhand des Profils eine Wahr scheinlichkeit angesetzt werden, dass sich das Endgerät möglicherweise an einer Wand außerhalb des eigentlichen Raumbereichs bewegt und daher nicht autorisiert ist. Hier können dann ebenfalls entsprechende Maßnahmen getroffen werden.
Es ist anzumerken, dass die oben beschriebenen Ausführungsbeispiele spezielle Ausführungsformen darstellen und den durch die beigefügten Ansprüche definierten Schutzumfang nicht eingrenzen. Insbesondere können auch einzelne Merkmale der einzelnen Ausführungsbeispiele in jeweils andere Ausführungsbeispiele kombiniert werden. Beispielsweise, können Abwehrmaßnahmen wie MAC-Filtering, Jamming (Aussenden von Deauthentikationssignalen), Swarming, auch kombiniert oder aber auch nur fallweise - je nach Schwerwiegen oder Art des Angriffs - vorgenommen werden.
In dieser Anmeldung kann der Ausdruck 'Anmelden" durch das Endgerät als Regist rierungsprozess mit einer Definition der Übertragungsparameter zwischen Endgerät und Zugangspunkt verstanden sein. Mit "anmelden" wird hier aber auch nur die bloße Aussendung von Datenpaketen durch das Endgerät verstanden, die in Antwort auf Beacons durch den Zugangspunkt erfolgen, d.h. das bloße in-Kontakt-treten. Ebenso schließt "Abmelden" ein bloßes Beenden der Verbindung ein.
In den Ausführungsbeispielen wurden die Raumzonencontroller 14, 18 und der Si cherheitscontroller 24 als über eine Datenleitung 22 verbunden beschrieben, welches eine physische Beschaffenheit als getrennte elektronische Bausteine implizieren könnte. Selbstverständlich können die Controller aber auch lediglich als getrennte computerimplementierte Programme beschaffen sein, die auf getrennten wie aber auch demselben Rechner, Server oder lokalen Knoten laufen. BEZUGSZEICHENLISTE: , 1 ' Gebäude, Gebäudeteil, bauliche Anlage
, 2a Außenwand, Raum, Raumbereich
Leuchten
Inneres (Gebäude)
a-e Raumzonen
Außenbereich (Gebäude)
drahtloser Zugangspunkt (herkömmlich)
a Reichweite
0, 10' drahtlose Zugangspunkte
0a Reichweite
2 netzartige Anordnung von drahtlosen Zugangspunkten4 Raumzonencontroller
6 Datenleitung
8 Raumzonencontroller
0 System zum Aufbauen eines drahtlosen Netzwerks2 Datenleitung
4 Raumzonencontroller
6 Datenleitung
8 Administrationsschnittstelle
0 Benachrichtigungsvorrichtung
2 Endgerät
3 Aussenden von Deautentikations-Frames
4 Beenden der Verbindung
0, 40' drahtlose Zugangspunkte (gerichtete Antenne)02 Anmelden eines Endgeräts 104 Anmelden eines externen drahtlosen Zugangspunkts
106 Empfang der MAC-Adresse und Weiterleiten (AP)
108 Empfang der MAC-Adresse durch Raumzonencontroller
1 10 Konfigurieren Zugangskontrollliste (ACL)
1 12 Speichern Zugangskontrollliste (ACL)
1 14 Verteilen ACL an Raumzonencontroller
1 16 Berechnen der Position
1 18 Vergleich von MAC-Adresse und Position mit ACL
120 Warnmeldung: Systemverletzung
ACL Zugangskontrollliste

Claims

PATENTANSPRÜCHE:
1. System (20) zum Bereitstellen eines drahtlosen Netzwerks, umfassend: eine Vielzahl von drahtlosen Zugangspunkten (10, 10'), die jeweils einen be grenzten Raumbereich in einem Gebäude (1 , 1 ') oder einer baulichen Anlage mit ei nem Zugang zu dem drahtlosen Netzwerk versorgen,
wenigstens einen Raumzonencontroller (14, 18), der mit zumindest einem Teil der drahtlosen Zugangspunkten verbunden und ausgelegt ist, eine Geräteinformation eines sich im Netzwerk anmeldenden Endgeräts (32) und/oder externen drahtlosen Zugangspunkts über die mit ihm verbundenen drahtlosen Zugangspunkte zu emp fangen und anhand einer Zuordnung zu einem oder mehreren der verbundenen drahtlosen Zugangspunkte die räumliche Position des betreffenden Endgeräts (32) und/oder externen drahtlosen Zugangspunkts in oder nahe dem Gebäude (1 ) oder der baulichen Anlage zu bestimmen, und
einen zentralen Sicherheitscontroller (24), der mit dem Raumzonencontroller (14, 18) verbunden ist und eine Zugangskontrollliste (ACL) bereitstellt, wobei die Zu gangskontrollliste eine Netzzugangsbeschränkung abhängig von Geräteinformatio nen und räumlichen Positionen festlegt,
wobei der Raumzonencontroller (14, 18) ausgelegt ist, die empfangene Gerä teinformation und die bestimmte räumliche Position mit der Zugangskontrollliste (ACL) zu vergleichen, um eine entsprechende Netzwerkszugangsbeschränkung für das sich anmeldende Endgerät (32) und/oder den externen drahtlosen Zugangspunkt zu ermitteln, und abhängig von dem Ergebnis das sich anmeldende Endgerät und/oder den externen drahtlosen Zugangspunkt am Netzwerkzugang zu hindern.
2. System gemäß Anspruch 1 , wobei
die drahtlosen Zugangspunkte der Vielzahl jeweils einer Leuchte in dem Ge bäude oder der baulichen Anlage zugeordnet sind und jeweils mit dieser eine ge meinsame Leistungsversorgung besitzen.
3. System gemäß Anspruch 1 oder 2, wobei
die Vielzahl der drahtlosen Zugangspunkte in einem zusammenhängenden, engmaschigen, gitterartigen Netz angeordnet sind, so dass im Fall eines sich im Netzwerk anmeldenden Endgeräts anhand einer sich zeitlich verändernden Zuord nung zu den drahtlosen Zugangspunkten des gitterartigen Netzes dessen Position und Bewegung im Gebäude oder der baulichen Anlage lückenlos verfolgbar ist.
4. System gemäß Anspruch 3, wobei
der Raumzonencontroller nur mit solchen drahtlosen Zugangspunkten ver bunden ist, die in einer Raumzone an einem Außenrand des zusammenhängenden, engmaschigen, gitterartigen Netzes gelegen sind.
5. System gemäß Anspruch 3 oder 4, wobei
eine erste und wenigstens eine zweite Raumzone festgelegt sind, die ver schiedenen Abschnitten des Gebäudes oder der baulichen Anlage entsprechen und denen jeweils eine unterschiedliche, räumlich zusammenhängend angeordnete Teil mengen der drahtlosen Zugangspunkte in dem Gebäude oder der baulichen Anlage zugeordnet sind,
wobei für jede Raumzone ein entsprechender Raumzonencontroller vorgese hen ist, und
wobei der zentrale Sicherheitscontroller mit allen Raumzonencontrollern ver bunden ist und diesen die Zugangskontrollliste bereitstellt.
6. System gemäß einem der Ansprüche 1 bis 5, wobei
der oder die Raumzonencontroller ausgelegt sind, den Netzwerkzugang zu verhindern, indem er wenigstens einen der ihm zugeordneten drahtlosen Zugangs punkte veranlasst, wiederholt Deauthentifizierungs-Frames mit einer aus der emp fangenen Geräteinformation bestimmten spezifischen Hardware-Adresse des Endge räts und/oder externen drahtlosen Zugangspunkts auszusenden.
7. System gemäß einem der Ansprüche 1 bis 5, wobei
der oder die Raumzonencontroller ausgelegt sind, den Netzzugang zu verhin dern, indem aus der empfangenen Geräteinformation eine spezifische Hardware- Adresse des Endgeräts ermittelt und mit einer Liste von Hardware-Adressen ver gleicht, die in der Zugangskontrollliste entweder als freigegeben oder alternativ als gesperrt vorgegeben sind.
8. System gemäß einem der Ansprüche 1 bis 7, wobei
der oder die Raumzonencontroller ausgelegt sind, die verbundenen drahtlosen Zugangspunkte in einen Monitormodus zu schalten, um diese als WLAN-Sniffer zu betreiben, um die externen drahtlosen Zugangspunkte aufzuspüren und deren räum liche Position zu bestimmen.
9. System gemäß einem der Ansprüche 1 bis 8, umfassend:
eine Benachrichtigungsvorrichtung, die mit dem Sicherheitscontroller und/oder dem Raumzonencontroller verbunden ist und im Fall eines aus dem Vergleich resul tierenden nicht autorisierten Netzzugang durch das Endgerät und/oder den externen Zugangspunkt eine Warnmeldung ausgibt, die den Zeitpunkt des nicht authorisierten Netzzugangs, die Hardware-Adresse und die Position des Endgeräts und/oder des externen Zugangspunkts beinhaltet.
10. System gemäß einem der Ansprüche 1 bis 9, wobei
der Raumzonencontroller ausgelegt ist, eine Leistung, mit welcher die drahtlo sen Zugangspunkte Datenpakete übermitteln, für jeden drahtlosen Zugangspunkt individuell einzustellen,
wobei, wenn der Raumzonencontroller infolge des Vergleichs mit der Zu gangskontrollliste feststellt, dass das angemeldete oder sich anmeldende Endgerät oder der externe drahtlose Zugangspunkt am Netzzugang zu hindern ist, der Raum zonencontroller die Leistung zumindest desjenigen drahtlosen Zugangspunkts, wel cher der erfassten Position des Endgeräts oder des externen drahtlosen Zugangs punkts entspricht, reduziert oder ganz abschaltet.
11. System gemäß Anspruch 10, wobei
der Raumzonencontroller ausgelegt ist, zusätzlich die Leistung derjenigen drahtlosen Zugangspunkte individuell zu reduzieren, die im Netz räumlich benachbart sind zu dem drahtlosen Zugangspunkt, welcher der erfassten Position des Endgeräts oder des externen drahtlosen Zugangspunkts entspricht.
12. System gemäß Anspruch 10 oder 11 , wobei die Teilmenge der drahtlosen Zugangspunkte auch im Fall einer Leistungsre duktion oder -abschaltung vom Raumzonencontroller wenigstens im Monitormodus weiterbetrieben werden, und
der Raumzonencontroller im Netzwerk das angemeldete oder sich anmelden de Endgerät und/oder den externe drahtlose Zugangspunkt anhand einer sich zeitlich verändernden Zuordnung zu den drahtlosen Zugangspunkten des Netzes im Hinblick auf dessen Position und Bewegung durch die erste Raumzone verfolgt, und
die Auswahl des- oder derjenigen drahtlosen Zugangspunkte, deren Leistung für die Datenübermittlung reduziert wird, anhand der verfolgten Position aktualisiert wird.
13. System gemäß einem der vorhergehenden Ansprüche, wobei der Raumzonencontroller ausgelegt ist, eine Leistung, mit welcher die drahtlo sen Zugangspunkte der ihm zugeordneten Teilmenge die Datenpakete übermitteln, für jeden drahtlosen Zugangspunkt individuell einzustellen,
wobei der Raumzonencontroller die drahtlosen Zugangspunkte im Regelbe trieb bei reduzierter oder abgeschalteter Leistung für die Übermittlung von Datenpa keten betreibt,
wobei, wenn der Raumzonencontroller die räumliche Position eines Endgeräts und/oder eines externen drahtlosen Zugangspunkts ermittelt und der Vergleich der Geräteinformation mit der Zugangskontrollliste ergibt, dass das angemeldete oder sich anmeldende Endgerät oder der externe Zugangspunkt nicht am Netzzugang zu hindern ist, der Raumzonencontroller die Leistung zumindest desjenigen drahtlosen Zugangspunkts und vorzugsweise auch von dessen räumlich benachbarten drahtlo sen Zugangspunkten erhöht, welcher der räumlichen Position des Endgeräts und/oder eines externen drahtlosen Zugangspunkts entspricht.
14. Verfahren zum Bereitstellen eines drahtlosen Netzwerks, umfassend:
Bereitstellen einer Vielzahl von drahtlosen Zugangspunkten, die jeweils einen begrenzten Raumbereich in einem Gebäude oder einer baulichen Anlage mit einem Zugang zu dem drahtlosen Netzwerk versorgen,
Bereitstellen einen Raumzonencontroller, der mit zumindest einem Teil der drahtlosen Zugangspunkten verbunden und ausgelegt ist, eine Geräteinformation eines sich im Netzwerk anmeldenden Endgeräts und/oder externen drahtlosen Zu gangspunkts über die mit ihm verbundenen drahtlosen Zugangspunkte zu empfan gen und anhand einer Zuordnung zu einem oder mehreren der verbundenen drahtlo sen Zugangspunkte die räumliche Position des betreffenden Endgeräts und/oder ex- ternen drahtlosen Zugangspunkts in oder nahe dem Gebäude oder der baulichen Anlage zu bestimmen, und
Bereitstellen eines zentralen Sicherheitscontrollers, der mit dem Raumzonen controller verbunden ist und eine Zugangskontrollliste bereitstellt, wobei die Zu gangskontrollliste eine Netzzugangsbeschränkung abhängig von Geräteinformatio- nen und räumlichen Positionen festlegt,
wobei der Raumzonencontroller ausgelegt ist, die empfangene Geräteinforma tion und die bestimmte räumliche Position mit der Zugangskontrollliste zu verglei chen, um eine entsprechende Netzwerkszugangsbeschränkung für das sich anmel dende Endgerät und/oder den externen drahtlosen Zugangspunkt zu ermitteln, und abhängig von dem Ergebnis das sich anmeldende Endgerät und/oder den externen drahtlosen Zugangspunkt am Netzwerkzugang zu hindern.
PCT/EP2019/085154 2019-01-15 2019-12-13 System zum bereitstellen eines drahtlosen netzwerks Ceased WO2020148039A1 (de)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/422,209 US20220086640A1 (en) 2019-01-15 2019-12-13 System for providing a wireless network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102019200409.1A DE102019200409A1 (de) 2019-01-15 2019-01-15 System zum bereitstellen eines drahtlosen netzwerks
DE102019200409.1 2019-01-15

Publications (1)

Publication Number Publication Date
WO2020148039A1 true WO2020148039A1 (de) 2020-07-23

Family

ID=69104364

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2019/085154 Ceased WO2020148039A1 (de) 2019-01-15 2019-12-13 System zum bereitstellen eines drahtlosen netzwerks

Country Status (3)

Country Link
US (1) US20220086640A1 (de)
DE (1) DE102019200409A1 (de)
WO (1) WO2020148039A1 (de)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12075414B2 (en) * 2021-12-28 2024-08-27 Nokia Solutions And Networks Oy Controller based control over wireless device association with wireless access points
KR102796964B1 (ko) * 2022-12-13 2025-04-18 주식회사 이너트론 불법 디바이스 검출차단장치

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120218978A1 (en) * 2010-11-01 2012-08-30 Buffalo Inc. Wireless lan system
US20140331272A1 (en) * 2013-05-03 2014-11-06 Qualcomm Incorporated Location based enforcement of mobile policy
US20180262971A1 (en) * 2017-03-13 2018-09-13 International Business Machines Corporation Management of a blacklist for controlling a communication

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7116993B2 (en) * 2002-09-27 2006-10-03 Rockwell Automation Technologies, Inc. System and method for providing location based information
US9392462B2 (en) * 2009-01-28 2016-07-12 Headwater Partners I Llc Mobile end-user device with agent limiting wireless data communication for specified background applications based on a stored policy
US9832648B2 (en) * 2014-03-11 2017-11-28 Alcatel Lucent Access control of geo-fenced services using co-located witnesses
DE102016203530A1 (de) * 2016-03-03 2017-09-07 Osram Gmbh Leuchte mit eingebauten Netzwerkzugangspunkt und Beleuchtungsanlage mit einem drahtlosen Netzwerk

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120218978A1 (en) * 2010-11-01 2012-08-30 Buffalo Inc. Wireless lan system
US20140331272A1 (en) * 2013-05-03 2014-11-06 Qualcomm Incorporated Location based enforcement of mobile policy
US20180262971A1 (en) * 2017-03-13 2018-09-13 International Business Machines Corporation Management of a blacklist for controlling a communication

Also Published As

Publication number Publication date
DE102019200409A1 (de) 2020-07-16
US20220086640A1 (en) 2022-03-17

Similar Documents

Publication Publication Date Title
DE60119028T2 (de) Zugangspunkt und Authentifizierungsverfahren dafür
DE112005002297B4 (de) Verfahren und System zum Unterstützen einer schnellen Übergabe von mobilen Teilnehmerstationen in drahtlosen Breitbandnetzen
Yiakoumis et al. BeHop: A testbed for dense WiFi networks
DE60303075T2 (de) Drahtloses LAN Vermittlungssystem für Unternehmen
DE602004011783T2 (de) Beschränkter WLAN-Zugriff für eine unbekannte Mobilstation
DE102021209124A1 (de) Systeme und verfahren zum datenschutz einer multilink-vorrichtung
WO2003093951A3 (en) Improved access point and wireless network controller
DE202006020961U1 (de) Zugangspunkt für Mobilkommunikationsnetz
EP3949682B1 (de) Systemkombination aus einem asynchronen und einem synchronen funksystem
DE102021114298B4 (de) Konfiguration von Funkressourcen-Parametern
DE102021109238B4 (de) Systeme und verfahren zur minimierung von latenzzeiten und konflikten unter verwendung von qos-frame-planungsinformationen
EP2359545A1 (de) Verfahren zur bereitstellung von sicherheitsmechanismen in drahtlosen mesh-netzwerken
DE102021109309A1 (de) Target wake time synchronisation über virtuelle zugangspunkte hinweg
DE202006005732U1 (de) Vorrichtung zum Koordinieren einer nahtlosen Kanalumschaltung in einem Maschennetz
WO2008043547A1 (de) SELBSTORGANISIERENDES SCHLIEßANLAGENSYSTEM UND VERFAHREN ZUM ORGANISIEREN EINES DERARTIGEN SYSTEMS
DE102019200409A1 (de) System zum bereitstellen eines drahtlosen netzwerks
EP1623537A1 (de) Verfahren fuer zufallszugriffe in einem lokalen netz
KR101718329B1 (ko) 메인 ＡＰ와 멀티 서브 ＡＰ 모듈로 구성되는 ＩｏＴ 네트워크 시스템
DE102011087838A1 (de) Kommunikationsvorrichtung, Steuerverfahren für eine Kommunikationsvorrichtung und Programm
EP2294775B1 (de) Sondermobilfunkversorgung mit eigenem accessmanagement und sperrfunktion
DE112013000764T5 (de) Band-Steering für Mehrband-Funkclients
EP2800342B1 (de) Verfahren und system für ein zustandsabhängiges ip-adressmanagement
DE202010017746U1 (de) Datenübertragungsnetzwerk
DE112021006074T5 (de) System und verfahren zur verringerung von staus im ineinandergreifenden netz
DE102016124179A1 (de) Verfahren und Vorrichtung zur drahtlosen Kommunikation

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19831629

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19831629

Country of ref document: EP

Kind code of ref document: A1